CVE-2025-56399 – laravel-file-manager v3.3.1 में प्रमाणित दूरस्थ कोड निष्पादन

🧭 अवलोकन

laravel-file-manager v3.3.1 और उससे नीचे के संस्करणों में एक प्रमाणित दूरस्थ कोड निष्पादन (RCE) भेद्यता पाई गई है, जो फ़ाइल प्रबंधक इंटरफ़ेस तक पहुँच रखने वाले हमलावरों को सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है। अनुमत गैर-PHP एक्सटेंशन (जैसे .png, .pdf) वाली फ़ाइल को अपलोड करके जिसमें दुर्भावनापूर्ण PHP कोड हो, और उसका नाम बदलकर .php एक्सटेंशन करके, या सीधे .php फ़ाइल बनाकर और संपादित करके, हमलावर तब RCE प्राप्त कर सकते हैं जब फ़ाइल सार्वजनिक URL के माध्यम से एक्सेस की जाती है।

🧱 प्रभावित घटक

• परियोजना: laravel-file-manager
• घटक: फ़ाइल अपलोड / नाम बदलें API
• प्रभावित संस्करण: v3.3.1 और उससे नीचे

🎯 आक्रमण वेक्टर

1. उस खाते से प्रमाणित करें जिसके पास फ़ाइल प्रबंधक की अपलोड या फ़ाइल बनाने की सुविधा तक पहुँच हो।
2. फ़ाइल प्रबंधक के अपलोड इंटरफ़ेस या API के माध्यम से दुर्भावनापूर्ण PHP कोड (जैसे <?php system($_GET['c']); ?>) युक्त एक फ़ाइल (जैसे shell.png) अपलोड करें।