🇰🇷 한글 설명
Laravel-Mediable 7.0.0 미만 버전에서 CVE-2026-49972에 대한 패치가 불완전하여 발생합니다. 차단 목록에 .pht 확장자가 누락되어 있어, 공격자가 .pht 파일을 업로드하면 Apache 서버(Debian/Ubuntu 환경)에서 PHP로 실행되어 원격 코드 실행(RCE)이 가능해집니다.
💡 쉬운 설명
파일 업로드 제한 목록에 특정 확장자(.pht)가 빠져 있어 발생하는 보안 결함입니다. 해커가 악성 파일을 올린 뒤 이를 실행시켜 서버를 마음대로 조종할 수 있습니다.
🇺🇸 원문 (English)
Laravel-Mediable 7.0.0 before 7.0.2 contains an incomplete patch for CVE-2026-49972 in which the .pht extension is absent from the forbidden_extensions blocklist in config/mediable.php. The blocklist introduced to address CVE-2026-49972 includes phpt but omits pht, which Apache executes as PHP via the default FilesMatch directive on Debian and Ubuntu systems. An attacker can upload a .pht file that passes all validation in MediaUploader::verifyExtension() and File::sanitizeFileName() because pht is not present in the blocklist, causing the file to be written to disk and executed as PHP when requested, enabling remote code execution with the privileges of the web server process.
📍 영향받는 시스템
Laravel-Mediable 7.0.0 ~ 7.0.1
⚔️ 공격 벡터
악성 .pht 파일을 업로드하여 웹 서버 권한으로 원격 코드 실행
🛡️ 대응 방법
Laravel-Mediable를 7.0.2 이상 버전으로 업데이트하거나 config/mediable.php의 차단 목록에 'pht'를 추가
🔧 검증 코드
출력된 버전이 7.0.2 미만(예: 7.0.0, 7.0.1)이면 취약한 상태입니다.
composer show mediable | grep versions