Vulnerabilidad en 0xdeadbit (CVE-2025-50881)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
16/03/2026
Última modificación:
17/03/2026
Descripción
El script `flow/admin/moniteur.php` en el sitio web de administración de Use It Flow anterior a 10.0.0 es vulnerable a ejecución remota de código. Al manejar solicitudes GET, el script toma la entrada proporcionada por el usuario del parámetro URL `action`, realiza una validación insuficiente e incorpora esta entrada en una cadena que es ejecutada posteriormente por la función `eval()`. Aunque se realiza una verificación `method_exists()`, solo valida la parte de la entrada del usuario *antes* del primer paréntesis `(`, permitiendo a un atacante añadir código PHP arbitrario después de una estructura de llamada a método válida. La explotación exitosa permite a un atacante no autenticado o trivialmente autenticado ejecutar código PHP arbitrario en el servidor con los privilegios del proceso del servidor web.
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA