PT-2026-57849 · Unknown · Laravel-Mediable

Vulncheck + 1 · Publicado 2026-07-13 · Atualizado 2026-07-13 · CVE-2026-49971

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Laravel-Mediable versões anteriores a 7.0.0

Description Ocorre cross-site scripting armazenado quando usuários autenticados ou anônimos fazem o upload de arquivos SVG não sanitizados contendo scripts incorporados em manipuladores de evento onload, tags script ou elementos foreignObject. Essas cargas persistentes são executadas com acesso total ao DOM quando a vítima abre ou visualiza o arquivo, o que pode levar ao roubo de cookies de sessão, captura de tokens CSRF e sequestro de conta.

Recommendations Atualize o Laravel-Mediable para a versão 7.0.0 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-49971

Produtos afetados

Laravel-Mediable

Referências · 5

• https://github.com/plank/laravel-mediable/releases/tag/7.0.0 · Nota
• https://github.com/plank/laravel-mediable/commit/65046b2162fac23ec5d5e8fbdff01a9a0804003e · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-49971 · Nota de Segurança
• https://vulncheck.com/advisories/laravel-mediable-stored-xss-via-svg-file-upload · Nota
• https://twitter.com/VulmonFeeds/status/2076765321902334399 · Publicação no Twitter