• Función de carga de archivos — Download Center > Upload Share Content (carga de medios / flujo de contenido compartido)

Tipo de ataque / Vector

• Tipo de ataque: Remoto (requiere cuenta autenticada con rol: contador/admin/superadmin)
• Vectores de ataque: Flujo de carga combinado con la opción alternativa de URL de YouTube; al enviar tanto un archivo cargado como el campo de enlace de YouTube, el servidor almacena el archivo cargado con una extensión .php en un directorio accesible por web.

Reproducción (PoC conceptual — sin payload ejecutable incluido)

1. Inicie sesión en Smart School como usuario con rol accountant, admin o superadmin.
2. Navegue a Download Center → Upload Share Content.
3. Intercepte la solicitud HTTP (por ejemplo, con un proxy como Burp) durante el flujo de carga/compartición.
4. Cargue un archivo cuyo nombre termine en .php (los filtros/verificaciones del lado del servidor intentan bloquear cargas PHP mediante la validación regular de tipo de archivo).
5. En la misma solicitud de carga/envío, complete también el campo alternativo de URL de YouTube (la ruta lógica que maneja la opción de YouTube permite incorrectamente que el archivo cargado sea aceptado y almacenado).
6. Complete el flujo de compartir/cargar; observe la respuesta del servidor o la ruta del archivo almacenado devuelta (la aplicación revela la ruta de almacenamiento). Ejemplo de patrón de ruta de almacenamiento observado: /uploads/school_content/material/media/!file.php
7. Acceda al archivo .php almacenado mediante la URL devuelta para desencadenar la ejecución de código (si el archivo contiene código PHP ejecutable).

Prueba de concepto (alto nivel)

• Un archivo PHP cargado a través del flujo vulnerable se escribe en un directorio accesible por web y puede ser invocado directamente por HTTP.
• La vulnerabilidad es una elusión de lógica/validación (la ruta de código de la URL alternativa de YouTube no aplica las mismas restricciones estrictas de tipo de archivo que el flujo de carga normal).

Mitigación / Correcciones recomendadas

Correcciones del lado del proveedor (recomendadas):

1. Corregir el fallo lógico para que la ruta de URL alternativa de YouTube y cualquier otra ruta de carga especial apliquen la misma validación y filtrado de tipo de archivo que el flujo de carga normal. También verifique si la URL de YouTube es válida/existente.
2. Bloquear la ejecución de archivos cargados almacenando el contenido cargado fuera de la raíz web o asegurando que las cargas se sirvan a través de un manejador seguro que nunca ejecute código del lado del servidor.
3. Aplicar verificaciones de MIME type y extensión del lado del servidor, y validar contra una lista blanca de tipos de archivo permitidos en lugar de una lista negra.
4. Renombrar los archivos almacenados a extensiones seguras y/o aleatorizar los nombres sin conservar la extensión original.
5. Configurar permisos correctos del servidor para que los archivos cargados no sean ejecutables (por ejemplo, chmod para eliminar el permiso de ejecución; configurar el servidor web para que no ejecute PHP desde directorios de carga).
6. Agregar registro y monitoreo para cargas sospechosas e intentos de acceso a archivos cargados.
7. Aplicar restricciones basadas en roles — restringir qué roles pueden cargar contenido y requerir validación adicional para roles privilegiados.

Soluciones alternativas para administradores:

• Deshabilitar temporalmente la función problemática de carga/compartición si es factible.
• Restringir el acceso de carga a menos cuentas de confianza.
• Configurar el servidor web para denegar la ejecución de .php en el directorio /uploads/....

Referencias

• Instancia de demostración reportada: https://smart-school.in/demo
• ID CVE de MITRE reservado: CVE-2025-60500