EXPLOIT PÚBLICO

CVE-2025-27515 Omisión de validación de archivos en Laravel con validación de comodín

Laravel permite que, al usar validación de comodín para un campo de archivo o imagen (files.*), una solicitud maliciosa manipulada por el usuario omita las reglas de validación. Se corrige en las versiones 11.44.1 y 12.1.1.

Alerta de Nureq Monitor

Detectada 19 OCT · 16:42

CVSS 4.0

6.9MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,7 % PERCENTIL 54

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2025-27515

Productos y versiones afectadas

laravel framework
- >= 12.0.0, < 12.1.1
- < 11.44.1

Qué hacer

Verificá si usás framework y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Shanks2001/Progetto-sicurezza Penetration test white-box su un’app Laravel: analisi Cyber Kill Chain, RCE via file upload bypass (CVE-2025-27515), exfiltration e remediation.PUBLICADO 19 OCT · 16:42

Calculadora CVSS

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
REQUISITOS DEL ATAQUE (AT): Ninguno
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC): Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI): Baja
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA): Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC): Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI): Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA): Ninguna

Abrir la calculadora completa

Descripción original

Laravel is a web application framework. When using wildcard validation to validate a given file or image field (`files.*`), a user-crafted malicious request could potentially bypass the validation rules. This vulnerability is fixed in 11.44.1 and 12.1.1.

Referencias

github.com/laravel/framework/security/advisories/GHSA-78fx-h6xr-vch4X_REFSOURCE_CONFIRM
github.com/laravel/framework/commit/2d133034fefddfb047838f4caca3687a3ba811a5X_REFSOURCE_MISC

Historial de la alerta

19 OCT · 16:42EXPLOIT PÚBLICO Se publicó el repositorio Shanks2001/Progetto-sicurezza.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.