CVE-2025-56399 – laravel-file-manager v3.3.1 における認証されたリモートコード実行

🧭 概要

laravel-file-manager v3.3.1 以下における認証されたリモートコード実行（RCE）の脆弱性により、ファイルマネージャーインターフェースにアクセスできる攻撃者が、サーバー上で任意のコードを実行できます。許可された非PHP拡張子（例: .png, .pdf）のファイルに悪意のあるPHPコードを含めてアップロードし、そのファイル名を .php 拡張子に変更するか、または直接 .php ファイルを作成・編集し、そのファイルが公開URL経由でアクセスされた際にRCEを達成できます。

🧱 影響を受けるコンポーネント

• プロジェクト: laravel-file-manager
• コンポーネント: ファイルアップロード / リネームAPI
• 影響を受けるバージョン: v3.3.1 以下

🎯 攻撃ベクトル

1. ファイルマネージャーのアップロードまたはファイル作成機能にアクセスできるアカウントで認証する。
2. 悪意のあるPHPコード（例: <?php system($_GET['c']); ?>）を含むファイル（例: shell.png）を、ファイルマネージャーのアップロードインターフェースまたはAPIを介してアップロードする。
3. リネームAPIまたはインターフェースを使用して、ファイルの拡張子を shell.png から shell.php に変更する。
4. 公開URL（例: https://server-ip-address/storage/shell.php?c=id）でファイルにアクセスし、PHPペイロードを実行する。