🚨 CVE-2026-42569 - phpVMS Borrado de base de datos sin autenticación

Borrado de base de datos no autenticado / Importación destructiva en phpVMS

📌 Resumen

CVE-2026-42569 es una vulnerabilidad crítica en phpVMS (Sistema de Gestión de Aerolíneas Virtuales) que permite a atacantes no autenticados acceder a endpoints de importación heredados.

Se suponía que estos endpoints estaban restringidos, pero permanecen accesibles en versiones ≤ 7.0.5, lo que potencialmente permite a los atacantes provocar eliminaciones masivas u operaciones de borrado de la base de datos.

🛠 Versiones afectadas

⚠️ Impacto

• Acceso no autenticado
• Eliminación masiva de vuelos, usuarios, horarios y otros datos críticos
• Posible borrado completo de la base de datos (operaciones TRUNCATE / DELETE)
• Compromiso total del sistema de aerolínea virtual

🧪 Uso del PoC

python3 CVE-2026-42569.py http://target.com

Ejemplo de salida (éxito):

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ Mitigación

1. Actualice inmediatamente a phpVMS 7.0.6 o posterior.
2. Elimine o restrinja el acceso a los endpoints /importer y /import.
3. Bloquee el acceso a las rutas de importación heredadas en su servidor web (Nginx/Apache).
4. Realice copias de seguridad periódicas de su base de datos.

🔧 Solución temporal rápida (Nginx)

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ Aviso legal

Este repositorio es únicamente para fines educativos y pruebas de seguridad autorizadas.
El autor no es responsable del mal uso o los daños causados por esta herramienta.
La explotación no autorizada es ilegal.