Exécution de code à distance affectant Laravel File Manager
Une vulnérabilité affectant le gestionnaire de fichiers du framework Laravel permettrait à un attaquant authentifié d'exécuter du code arbitraire à distance sur le serveur web affecté.
Description
Contexte technique et détails de la vulnérabilité
Laravel File Manager (paquet alexusmai/laravel-file-manager) est un composant tiers populaire du framework web Laravel, utilisé pour le téléversement et la gestion des fichiers des utilisateurs. Ce composant est affecté par une vulnérabilité libellée CVE-2025-56399, résultant d'une validation insuffisante des fichiers téléversés. Son exploitation permettrait à un acteur malveillant authentifié de contourner les filtres de sécurité en téléversant un fichier image contenant du code malveillant, puis en utilisant la fonction de renommage pour en changer l'extension en .php. L'accès à ce fichier via une URL publique entraîne alors l'exécution de code arbitraire sur le serveur web. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Compromission totale du serveur web ;
- Atteinte à la confidentialité, à l'intégrité et à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Versions 3.3.3 et antérieures du paquet alexusmai/laravel-file-manager.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Restreindre l'accès à l'interface du gestionnaire de fichiers aux seuls comptes d'administration de confiance ;
- Configurer le serveur web pour interdire l'exécution de scripts PHP dans les répertoires de téléversement des utilisateurs ;
- Désactiver temporairement la fonction de renommage ou suspendre l'utilisation du composant jusqu'à la publication d'un correctif par l'éditeur.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.