Se ha descubierto una importante vulnerabilidad de seguridad en Livewire Filemanager, un componente de gestión de archivos ampliamente utilizado en aplicaciones web desarrolladas con Laravel. Registrada como CVE-2025-14894 y con la nota de vulnerabilidad VU#650657, esta falla permite a atacantes no autenticados ejecutar código arbitrario en servidores vulnerables. El problema radica en una validación incorrecta de archivos en el componente LivewireFilemanagerComponent.php.

Se ha descubierto una vulnerabilidad de seguridad significativa en Livewire Filemanager, un componente de gestión de archivos ampliamente utilizado en aplicaciones web de Laravel.

Registrada como CVE-2025-14894 y con la nota de vulnerabilidad VU#650657, esta falla permite a atacantes no autenticados ejecutar código arbitrario en servidores vulnerables.

La vulnerabilidad surge de una validación incorrecta de archivos en el componente LivewireFilemanagerComponent.php.

La herramienta no aplica una validación adecuada de tipos de archivo y MIME, lo que permite a los atacantes subir archivos PHP maliciosos directamente a través de la interfaz web.

Una vez subidos, estos archivos pueden ejecutarse a través del directorio públicamente accesible /storage/, siempre que se haya ejecutado el comando php artisan storage:link durante el proceso de configuración estándar de Laravel.

El proveedor marca deliberadamente la validación de tipos de archivo como fuera de su alcance en su documentación de seguridad, trasladando la responsabilidad de la validación a los desarrolladores.

Sin embargo, el problema crítico radica en la arquitectura de la herramienta, que expone directamente los archivos subidos a ejecución sin salvaguardas adicionales.

La explotación exitosa otorga a los atacantes ejecución remota de código (RCE) con los privilegios del usuario del servidor web.

Esto permite un compromiso completo del sistema, incluyendo acceso de lectura y escritura sin restricciones a todos los archivos accesibles por el proceso del servidor web. Los atacantes pueden entonces pivotar para comprometer sistemas e infraestructuras conectadas.

El ataque no requiere autenticación y puede ejecutarse de forma remota simplemente subiendo un webshell PHP a la aplicación a través de la interfaz de carga de Livewire Filemanager, y luego activando la ejecución al acceder al archivo mediante la URL de almacenamiento.

Plataformas afectadas y estado

En el momento de la divulgación, los proveedores no han reconocido la vulnerabilidad.

CERT/CC recomienda medidas de protección inmediatas, incluyendo verificar si se ha ejecutado php artisan storage:link y, en caso afirmativo, eliminar la capacidad de servir archivos web.

Las organizaciones que utilicen Livewire Filemanager deben implementar restricciones de carga de archivos a nivel de aplicación, independientemente de la funcionalidad de Livewire.

Considera implementar políticas de lista blanca estrictas que limiten las cargas a tipos de archivos seguros y aplicar una validación exhaustiva de tipos MIME.

Almacena los archivos subidos fuera del directorio accesible desde la web. Desactiva el enlace de almacenamiento público si no es necesario para las operaciones.