Téléversement de fichiers sans restriction affectant plank/laravel-mediable
Une vulnérabilité critique affectant plank/laravel-mediable permettrait à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
plank/laravel-mediable est une bibliothèque dédiée au framework Laravel, conçue pour simplifier et structurer l'association de fichiers (images, vidéos ou documents) aux différents éléments d'une application web. Ce paquet est affecté par une vulnérabilité critique libellée CVE-2026-4809, résultant d'une validation insuffisante des types de fichiers lors du téléversement. Son exploitation pourrait permettre à un attaquant non authentifié de téléverser des fichiers arbitraires et d'aboutir à une exécution de code à distance sur les systèmes affectés. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité et à la disponibilité des données ;
- Atteinte à l'intégrité du système.
Systèmes affectés
Produits, composants et versions concernés
- Toutes les versions de plank/laravel-mediable jusqu'à la version 6.4.0 incluse.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre en place une validation stricte côté serveur, qui contrôle les fichiers selon leur contenu réel et leur extension plutôt que selon le type MIME fourni par le client ;
- S'assurer que les répertoires de stockage des fichiers téléversés ne disposent d'aucun droit d'exécution au niveau du serveur web (par exemple via .htaccess ou la configuration Nginx) ;
- Appliquer les correctifs de sécurité dès que l'éditeur publie une version corrigée.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.