CVE-2026-4809plank/laravel-mediable 组件在 6.4.0 及之前的版本中存在严重的任意文件上传漏洞。该漏洞的根本原因在于应用程序在处理文件上传逻辑时，错误地优先接受或直接信任客户端提供的 MIME 类型，而未在服务端进行严格的类型校验。远程攻击者可以构造包含恶意 PHP 代码的文件，并声明其为无害的图片 MIME 类型进行上传攻击。一旦该文件被系统存储在 Web 服务器可访问且具备执行权限的目录下，攻击者即可实现远程代码执行。截至目前，官方尚未发布修复补丁。
该漏洞位于 plank/laravel-mediable 包的文件上传处理机制中。当应用配置为允许或偏好客户端提供的 MIME 类型时，系统仅检查 HTTP 请求头中的 Content-Type 字段，而忽略了文件扩展名或文件内容的实际魔数验证。攻击者可以发送一个 HTTP POST 请求，其中包含 PHP Webshell 代码，但将 Content-Type 设置为 image/jpeg。服务器接收文件后，根据配置将其保存为 .php 文件（或可解析为 PHP 的文件），或者在 Web 服务器配置不当时，即使扩展名不是 .php 也可能被执行。这种对 MIME 类型的信任缺失，使得未授权的攻击者能够绕过安全检查，在目标服务器上写入任意内容，进而完全控制服务器。