URLs temporárias do disco local podem acessar outro arquivo e ignorar a expiração
O driver local de armazenamento do Laravel pode interpretar o caminho de uma URL temporária assinada de forma diferente daquela usada para gerar a assinatura. Nessas condições, a requisição pode acessar outro arquivo e a validação do prazo pode falhar, mantendo o link válido indefinidamente após a expiração. Na variante de upload, a gravação também pode atingir um destino diferente do autorizado.
Casos de uso afetados
- Você disponibiliza arquivos do disco local por links assinados com prazo de validade. A falha pode manter o acesso após esse prazo ou direcionar a requisição para um arquivo diferente daquele autorizado pela assinatura.
- Você permite o envio de arquivos por URLs temporárias de upload no disco local. A interpretação divergente do caminho pode gravar o arquivo em um destino diferente daquele previsto para o envio.
Confira na sua instância
Confira a versão instalada com composer show laravel/framework e compare-a com a faixa da sua linha. Abra config/filesystems.php e identifique os discos com driver local usados para gerar URLs temporárias de leitura ou upload. Em homologação, gere um link com expiração curta para um arquivo de teste, confirme o arquivo recebido durante a validade e repita o acesso após o vencimento, verificando se o servidor o recusa. Caso sua aplicação ofereça upload temporário, envie um arquivo descartável e confira o caminho gravado no disco. Repita essas conferências após atualizar o framework. Esses testes conferem o comportamento esperado, sem reproduzir as condições específicas de exploração.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| laravel/framework 13.x | <13.12.0 | >=13.12.0 |
| laravel/framework 12.x | <12.61.1 | >=12.61.1 |
O aviso também identifica a falha como CVE-2026-48041. As correções estão disponíveis no projeto, mas você precisa conferir a versão instalada na aplicação. Um teste comum que recuse o link vencido não descarta a falha em uma versão afetada, pois o comunicado descreve uma interpretação ambígua sob condições específicas.
