Téléversement de fichier sans restriction dans Laravel FileManager (CVE-2025-56399)

CWE-434 : Téléversement sans restriction d'un fichier de type dangereux
Score CVSS : 8,5 (Élevé)

---

📋 Description

Cet outil fournit une preuve de concept (PoC) pour CVE-2025-56399, une vulnérabilité critique dans alexusmai/laravel-file-manager (versions ≤ 3.3.1).

La vulnérabilité permet à un attaquant authentifié d'atteindre l'exécution de code à distance (RCE) en téléversant un fichier contrefait, en contournant la validation côté client, et en le renommant avec une extension PHP.

Ce script automatise l'ensemble du processus :

• Détecte les points de terminaison FileManager (prend en charge plusieurs variantes de Laravel FileManager)
• Extrait les jetons CSRF
• Téléverse une charge utile et vérifie son exécution

---

🚨 Détails de la vulnérabilité (CVE-2025-56399)

Attribut	Valeur
Type de vulnérabilité	Téléversement de fichier sans restriction → RCE
CWE	CWE-434
Score CVSS	8,5 (Élevé)
Vecteur d'attaque	Réseau
Complexité de l'attaque	Faible
Privilèges requis	Faibles (Authentifié)
Interaction de l'utilisateur	Active

Chaîne d'attaque (selon CVE-2025-56399)

1. S'authentifier auprès de l'application
2. Accéder à l'interface FileManager (/file-manager)
3. Téléverser un fichier .png contenant du code PHP
4. Utiliser l'API de renommage pour changer l'extension en .php
5. Accéder au fichier → le serveur exécute le code PHP → RCE obtenue

---

🛠️ Installation

git clone https://github.com/Jenderal92/laravel-filemanager-unrestricted-upload.git
cd laravel-filemanager-unrestricted-upload
pip install -r requirements.txt

Prérequis

· Python 2.7 · requests · colorama

---

📖 Utilisation

python2 lfm.py list.txt

Format d'entrée (list.txt)

https://target1.com
https://target2.com
http://target3.com

Sortie

· valid.txt – Liste des URL de shell validées (ajoutez ?shinday=1 pour y accéder)

Exemple de sortie :

https://target.com/storage/shxt_123456.php?shinday=1

---

🧪 Comment fonctionne l'exploit

1. Détection – Vérifie les chemins FileManager courants : · /file-manager/tinymce · /file-manager/ckeditor · /file-manager/tinymce5 · /file-manager/summernote · /admin/file-manager/tinymce Pour alexusmai/laravel-file-manager, le chemin par défaut est /file-manager. Vous pouvez l'ajouter à la liste des chemins dans le script si nécessaire.
2. Extraction du jeton CSRF – Extrait le jeton depuis ou un champ d'entrée _token.
3. Initialisation – Appelle /file-manager/initialize pour récupérer la configuration du disque.
4. Téléversement – Téléverse .htaccess (pour contourner les restrictions) puis la charge utile (shxt_.php) avec un type MIME GIF.
5. Vérification – Vérifie si ?shinday=1 renvoie la chaîne Shinday ; si c'est le cas, le shell est valide et enregistré dans valid.txt.

---

📂 Détails de la charge utile

Le fichier PHP téléversé est un web shell monofichier qui :

· Affiche les informations système (php_uname) · Fournit un formulaire de téléversement de fichier (pour ajouter d'autres outils) · Répond au paramètre ?shinday=1 avec l'interface complète du shell · Sinon, renvoie une image GIF89a valide pour éviter la détection

Accédez au shell via :

https://target.com/path/to/shxt_123456.php?shinday=1

---

🛡️ Atténuation

Pour vous protéger contre cette vulnérabilité :

1. Mettez à jour le package – Attendez un correctif (aucun correctif officiel pour l'instant). Envisagez de remplacer alexusmai/laravel-file-manager par une alternative.
2. Restreignez l'accès – Ajoutez un middleware d'authentification à toutes les routes FileManager :

   Route::group(['middleware' => ['auth', 'admin']], function () {
       // File Manager routes
   });
   

3. Désactivez si ce n'est pas nécessaire – Supprimez le package :

   composer remove alexusmai/laravel-file-manager
   

4. Empêchez l'exécution de PHP – Placez un fichier .htaccess dans le répertoire de stockage :

   <FilesMatch "\.(php|phtml|php3|php4|php5|phar)$">
       Deny from all
   </FilesMatch>
   

5. Validez les types de fichiers – Mettez en place une validation stricte côté serveur pour les fichiers téléversés.

---

📦 Versions affectées

Paquet : versions affectées alexusmai/laravel-file-manager ≤ 3.3.1

---

🔗 Références

· CVE-2025-56399 - NVD · Avis GitHub · Base de données de vulnérabilités Snyk · Entrée VulDB · alexusmai/laravel-file-manager

---

📜 Avertissement

AVERTISSEMENT : Cet outil est réservé à des fins éducatives et à des tests de sécurité autorisés uniquement. En l'utilisant, vous acceptez de :

· Tester uniquement les systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite · Ne pas l'utiliser à des fins malveillantes · Vous conformer à toutes les lois applicables

L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés.

Plus d'avertissements Vous pouvez voir l'avertissement sur la page de couverture de Jenderal92. Vous pouvez le consulter ICI !!!