Vulnerabilidad en ThemisNETPanel de 4real (CVE-2026-6847)

Gravedad CVSS v4.0:

CRÍTICA

Tipo:

CWE-306 Ausencia de autenticación para una función crítica

Fecha de publicación:

13/07/2026

Última modificación:

24/10/2026

Descripción

Una vulnerabilidad de ejecución remota de código existe en ThemisNETPanel debido a la falta de autenticación para una función crítica de carga de archivos. La aplicación expone un endpoint que permite a atacantes no autenticados cargar archivos PHP arbitrarios al proporcionar una carga útil codificada en base64 y ejecutar código arbitrario en el servidor subyacente. Este problema ha sido solucionado por un parche lanzado en abril de 2026.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L CVSS v4.0 Severidad y Métricas:

Puntuación base: 9.30 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Bajo

Puntuación base 4.0

9.30

Gravedad 4.0

CRÍTICA

Referencias a soluciones, herramientas e información

https://cert.pl/posts/2026/07/CVE-2026-6847/