Vulnerabilidad en Simple E-Document (CVE-2014-125126)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-306
Ausencia de autenticación para una función crítica
Fecha de publicación:
31/07/2025
Última modificación:
31/07/2025
Descripción
Existe una vulnerabilidad de carga de archivos sin restricciones en las versiones 3.0 a 3.1 de Simple E-Document que permite a un atacante no autenticado eludir la autenticación mediante el envío de un encabezado de cookie específico (access=3) con las solicitudes HTTP. El mecanismo de carga de la aplicación no restringe los tipos de archivo ni valida ni depura la información proporcionada por el usuario, lo que permite a los atacantes cargar scripts .php maliciosos. La autenticación se puede eludir por completo mediante el suministro de una cookie especialmente manipulada (access=3), que otorga acceso a la función de carga sin credenciales válidas. Si la carga de archivos está habilitada en el servidor, el atacante puede cargar un shell web y obtener la ejecución remota de código con los privilegios del usuario del servidor web, lo que podría comprometer por completo el sistema.
Impacto
Puntuación base 4.0
9.20
Gravedad 4.0
CRÍTICA