CVE-2025-63307 – laravel-file-manager v3.3.1 における認証済み保存型クロスサイトスクリプティング（XSS）

🧭 概要

laravel-file-manager v3.3.1 以下の認証済みユーザーによる保存型クロスサイトスクリプティング（XSS）の脆弱性により、ファイルマネージャーインターフェースにアクセスできる攻撃者が、アップロードまたは作成したファイルに任意の JavaScript コードを注入して永続化させることが可能です。 悪意のある JavaScript を含む特別に細工された .html または .svg ファイルをアップロードするか、ファイルマネージャー内でそのようなファイルを直接作成・編集することにより、攻撃者は保存型 XSS を引き起こせ、他の認証済みユーザーまたは管理者が Web インターフェースを通じてそのファイルを表示した際に実行されます。

🧱 影響を受けるコンポーネント

• プロジェクト: laravel-file-manager
• コンポーネント: ファイルのアップロード、作成、表示機能（例：FileManagerController.php）
• 影響を受けるバージョン: v3.3.1 以下

🎯 攻撃ベクトル

1. ファイルマネージャーインターフェースを介してファイルのアップロード、作成、または名前変更の権限を持つアカウントで認証する。
2. 悪意のある JavaScript を含む .svg または .html 拡張子のファイルをアップロードまたは作成する
3. アプリケーションはこのファイルを、その内容を検証したり埋め込まれたスクリプトをサニタイズしたりせずに保存する。
4. 別のユーザー（管理者やリポジトリメンテナーなど）がブラウザでそのファイルを表示またはプレビューすると、悪意のある JavaScript がアプリケーションのドメインのコンテキストで実行される。
5. スクリプトはその後、セッションハイジャック、CSRF、被害者のブラウザからの機密データの盗用などのアクションを実行できる。

💥 影響

• 保存型 XSS：アプリケーションのオリジン内での永続的な JavaScript の実行。