CVE-2026-4809: plank/laravel-mediable: upload irrestrito de arquivo perigoso via MIME type informado pelo cliente

Visão geral

A CVE-2026-4809 é uma fraqueza de upload de arquivos (CWE-434, Upload Irrestrito de Arquivo com Tipo Perigoso) no plank/laravel-mediable, um pacote usado em aplicações Laravel para gerenciar arquivos de mídia. O registro indica que o pacote pode permitir o upload de um tipo de arquivo perigoso quando a aplicação confia em um MIME type fornecido pelo cliente. O problema depende dessa configuração.

Impacto

O registro descreve upload arbitrário de arquivo. Se um arquivo com código PHP for gravado em um local acessível e executável pelo servidor web, o resultado pode incluir execução de código no servidor. A CNA atribui nota base 9,8 no CVSS 3.1 (vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) e nota 9,3 no CVSS 4.0. Essas notas descrevem a vulnerabilidade como relatada; o risco real depende de cada implantação.

Produtos e versões afetadas

Produto: plank/laravel-mediable.
Versões indicadas como afetadas: até a versão 6.4.0.
Os campos estruturados de afetados e correções do registro estão vazios. A faixa exata de versões afetadas e a existência de uma versão corrigida não podem ser confirmadas a partir do registro.
A exploração depende de uma aplicação que aceite ou priorize o MIME type enviado pelo cliente.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. Nas fontes consultadas não há exploração confirmada na natureza. A probabilidade EPSS é 0,01139, com percentil 0,65766, o que estima a chance de exploração, mas não é evidência de ataques observados.

Correção e mitigação

Verifique se a versão instalada é a 6.4.0 ou anterior e consulte a página de releases do projeto para identificar uma versão mais nova que trate o problema.
Não use o MIME type enviado pelo cliente como base para decisões de segurança. Determine o tipo do arquivo no servidor a partir do conteúdo e restrinja as extensões aceitas ao necessário.
Armazene uploads fora da raiz web ou em locais onde o servidor não execute scripts.
Aplique o princípio do menor privilégio ao diretório de uploads e restrinja o acesso de escrita.

Orientações de detecção

Revise os endpoints de upload em busca de arquivos cujo tipo declarado difira do conteúdo real.
Procure arquivos do tipo script recém-criados em diretórios de upload e de mídia.
Monitore os logs do servidor web em busca de requisições incomuns a arquivos enviados nos caminhos de mídia.

Limitações das informações disponíveis

O registro não lista versões afetadas ou corrigidas além da descrição, não detalha o trecho de código vulnerável e não fornece o texto de um aviso do fabricante. Não é possível afirmar se existe versão corrigida. A data do EPSS no registro não é usada para tirar conclusões sobre o momento do risco. Administradores devem confirmar os detalhes no repositório do projeto e nas notas de versão.

Perguntas frequentes

Esta CVE afeta todas as aplicações que usam o plank/laravel-mediable?

Não. O registro indica que o problema se aplica quando a aplicação aceita ou prioriza o MIME type enviado pelo cliente durante o tratamento do upload. Aplicações que validam o conteúdo do arquivo no servidor estão fora dessa condição, embora o registro não detalhe todas as configurações.

Há exploração conhecida desta CVE na natureza?

O registro indica que ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas. O valor EPSS estima a probabilidade, mas não confirma ataques.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.