Vulnerabilidad en PHP Volunteer Management System v1.0.2 (CVE-2012-10056)

Gravedad CVSS v4.0:

ALTA

Tipo:

CWE-434 Subida sin restricciones de ficheros de tipos peligrosos

Fecha de publicación:

13/08/2025

Última modificación:

14/08/2025

Descripción

PHP Volunteer Management System v1.0.2 contiene una vulnerabilidad de carga de archivos arbitraria en su funcionalidad de carga de documentos. Los usuarios autenticados pueden subir archivos al directorio mods/documents/uploads/ sin ninguna restricción de tipo ni extensión. Dado que este directorio es de acceso público y carece de controles de ejecución, los atacantes pueden cargar un payload PHP malicioso y ejecutarlo en remoto. La aplicación se entrega con credenciales predeterminadas, lo que facilita su explotación. Una vez autenticado, el atacante puede cargar un shell PHP y activarlo mediante una solicitud GET directa.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.70 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

8.70

Gravedad 4.0

ALTA

Vulnerabilidad en PHP Volunteer Management System v1.0.2 (CVE-2012-10056)

Descripción

Impacto

Referencias a soluciones, herramientas e información