UniSharp Laravel File Manager v2.0.0-alpha7 Arbitrary File Upload

CVE-2019-25673 影响 UniSharp Laravel File Manager 的 2.0.0-alpha7 和 2.0 版本，存在任意文件上传漏洞。经过身份验证的攻击者可以通过向上传端点发送 multipart 数据来上传恶意文件，包括 PHP 文件。由于存在远程代码执行的可能性，此漏洞的严重程度很高（CVSS 8.8）。如果攻击者成功上传 PHP 文件并通过工作目录访问该文件，则可以在服务器上执行任意代码，从而损害应用程序和相关数据的机密性和完整性。此漏洞在生产环境中尤其令人担忧，因为未经授权的访问可能会造成灾难性的后果。由于缺乏适当的文件类型验证，因此可以利用此漏洞，因此需要立即更新以降低风险。

Applications using UniSharp Laravel File Manager, particularly those with lax file type validation or overly permissive access controls, are at significant risk. Shared hosting environments where multiple applications share the same server are also particularly vulnerable, as a compromise of one application could potentially lead to the compromise of others.

• laravel / server:

find /var/www/laravel/ -name '*.php' -print0 | xargs -0 grep -i 'uniSharp'

• generic web:

curl -I <laravel_app_url>/filemanager/upload | grep 'Content-Type:'

• generic web: Check Laravel application logs for unusual file upload attempts or errors related to file type validation.

1. 2026-04-05Disclosure

   disclosure

1. 已保留2026-04-05
2. 发布日期2026-04-05
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-13

建议的解决方案是将 UniSharp Laravel File Manager 更新到 2.0.1 或更高版本，该版本修复了此漏洞。在更新之前，建议对应用程序和数据库进行完整备份。此外，请检查服务器安全配置，包括限制对文件管理器工作目录的访问。在服务器端实施强大的文件类型验证对于防止此类类型的未来漏洞至关重要。监控服务器日志以查找可疑活动，例如未经授权的文件上传尝试，有助于检测和响应潜在攻击。考虑实施 Web 应用程序防火墙 (WAF)，以提供额外的攻击保护层。