Path Traversal en operaciones de archivos (Eliminar / Copiar / Mover)

PhocaCommander ≤ 6.1.3 — Administrador autenticado manipula archivos fuera de la raíz web

RESUMEN

El manejador de acciones de archivos en PhocaCommander construye rutas de origen y destino a partir de parámetros codificados en base64 controlados por el atacante (pathfrom, pathwhere) sin ninguna validación de contención de rutas. Un administrador autenticado puede eliminar, copiar y mover archivos en cualquier lugar del sistema de archivos accesible para el proceso del servidor web.

Confirmado en el laboratorio: eliminar un archivo en /tmp/ (fuera de la raíz web) y copiar /etc/passwd al administrador de archivos de PhocaCommander — haciendo que su contenido sea legible mediante el editor integrado. Las tres operaciones (eliminar, copiar, mover) comparten la misma ruta de código sin validar.

VERSIONES AFECTADAS

DETALLES DE LA VULNERABILIDAD

Autenticación requerida: Administrador (sesión + token CSRF)

Archivo: administrator/components/com_phocacommander/views/phocacommanderactiona/view.json.php

Causa raíz

La vista de acción decodifica pathfrom y pathwhere desde base64 y los concatena directamente sobre JPATH_ROOT sin comprobación de contención de rutas. Estas rutas sin validar se utilizan luego en las tres operaciones de archivos:

VIEW.JSON.PHP — CONSTRUCCIÓN DE RUTA VULNERABLE

// Both parameters decoded from base64 — no containment check
$pathFrom  = JPATH_ROOT . '/' . base64_decode($this->t['pathfrom'])  . '/';
$pathWhere = JPATH_ROOT . '/' . base64_decode($this->t['pathwhere']) . '/';

// Delete — removes any file reachable by www-data
$srcValue = $pathFrom . $v;
if (PhocaCommanderHelper::fileExists($srcValue)) {
    File::delete($srcValue);
}

// Copy / Move — arbitrary cross-directory file operations
File::copy($pathFrom . $v, $pathWhere . $v);
File::move($pathFrom . $v, $pathWhere . $v);

PhocaCommanderHelper::fileExists() utiliza is_file(Path::clean($file)). Path::clean() normaliza las barras pero no elimina las secuencias ../, por lo que las secuencias de traversal en cualquiera de los parámetros se resuelven en rutas arbitrarias del sistema de archivos sin verificar.

PRUEBA DE CONCEPTO

Escenario 1 — Eliminar un archivo fuera de la raíz web

1. Confirmar que el archivo centinela existe en /tmp/poc.txt

Se crea un archivo de prueba en /tmp/poc.txt propiedad de www-data, lo que confirma que el objetivo existe antes de la operación de eliminación.

2. Iniciar sesión en el panel de administración de Joomla y obtener el token CSRF

Autentíquese mediante la página de inicio de sesión de administración. Recupere el token de formulario de Joomla: aparece como un campo de entrada oculto en cualquier página de administración.

3. Enviar la solicitud de eliminación — archivo objetivo fuera de la raíz web

Parámetros decodificados:

• pathfrom=Li4vLi4vLi4vdG1w → ../../..tmp → /tmp/
• selfiles[0]=file|cG9jLnR4dA== → nombre de archivo poc.txt

SOLICITUD / RESPUESTA

4. Confirmar que el archivo fue eliminado de /tmp

Escenario 2 — Copiar /etc/passwd al administrador de archivos (lectura arbitraria de archivos mediante copia)

1. Iniciar sesión y obtener el token CSRF (igual que en el Escenario 1, Paso 2)

Reutilice la sesión de administrador del Escenario 1 o autentíquese nuevamente para obtener un token CSRF nuevo.

2. Copiar /etc/passwd a phoca-files/ dentro de la raíz web

Parámetros decodificados:

• pathfrom=Li4vLi4vLi4vLi4vZXRj → ../../../../etc → /etc/
• pathwhere=cGhvY2EtZmlsZXM= → phoca-files → /var/www/html/phoca-files/
• selfiles[0]=file|cGFzc3dk → nombre de archivo passwd

SOLICITUD / RESPUESTA

3. Confirmar que /etc/passwd se copió a phoca-files/

/etc/passwd ahora está presente dentro de la raíz web en phoca-files/passwd, propiedad de www-data.

4. Abrir el archivo copiado en el editor integrado de PhocaCommander

Navegue al administrador de archivos de PhocaCommander en el panel de administración, abra phoca-files/, haga clic en el archivo passwd y luego en Edit (Editar) para ver su contenido en el editor CodeMirror integrado. El contenido completo de /etc/passwd se muestra:

IMPACTO

1. Eliminación arbitraria de archivos — cualquier archivo escribible por www-data fuera de la raíz web puede eliminarse permanentemente, incluidos archivos de configuración de aplicaciones, archivos de bloqueo y tareas cron de otros servicios
2. Copia arbitraria de archivos (→ lectura) — cualquier archivo legible, incluidos archivos de sistema y configuraciones fuera de la raíz web, puede copiarse al administrador de archivos y leerse mediante el editor integrado; esto logra efectivamente una lectura arbitraria de archivos a nivel del sistema operativo
3. Movimiento arbitrario de archivos — los archivos pueden reubicarse a través de los límites de directorios, lo que interrumpe otros servicios o reposiciona archivos para ataques secundarios
4. Cadena de exfiltración de datos — copiar archivos sensibles (/etc/shadow, claves privadas, archivos .env de otras aplicaciones) a la raíz web los hace accesibles vía HTTP sin ninguna acción adicional

REFERENCIAS

• CVE: https://www.cve.org/CVERecord?id=CVE-2026-66493
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-66493
• Repositorio del proveedor: https://github.com/PhocaDesign/PhocaCommander