CVE-2026-41463: Vulnerabilidad de ZipSlip en ProjeQtor
Descripción de la Vulnerabilidad
CVE-2026-41463 es una vulnerabilidad crítica descubierta en el software ProjeQtor, que permite a atacantes aprovechar un fallo de validación de rutas durante la extracción de archivos ZIP. La vulnerabilidad afecta a versiones del 7.0 al 12.4.3 del sistema y permite a usuarios autenticados con permisos de subida escribir archivos fuera del directorio previsto al crear archivos ZIP con secuencias de navegación de directorios.
El atacante puede explotar este漏洞 para crear un webshell PHP en un directorio accesible desde el web, logrando la ejecución remota de código con privilegios del proceso del servidor web.
Sistemas Afectados
La vulnerabilidad afecta a las siguientes versiones de ProjeQtor:
- 7.0
- 8.0
- 9.0
- 10.0
- 11.0
- 12.0
- 12.4.3
Estas versiones son vulnerables debido a la falta de validación durante el proceso de extracción de archivos ZIP, permitiendo a atacantes manipular rutas de archivo.
Impacto y Explotabilidad
La calificación CVSS de este CVE es 8.8, lo que refleja un impacto alto debido a la posibilidad de ejecución remota de código. Los atacantes pueden:
- Crear webshells PHP en directorios accesibles desde el navegador.
- Ejecutar código malicioso con privilegios del proceso del servidor web.
- Acceder a recursos sensibles del sistema operativo subyacente.
La vulnerabilidad es explotable por atacantes con permisos de subida, lo que la hace crítica para sistemas no actualizados.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación y Parches
La ProjeQtor ha liberado parches para corregir esta vulnerabilidad. Los usuarios deben:
- Actualizar a la última versión del software.
- Revisar las actualizaciones oficiales para aplicar correcciones de seguridad.
- Aplicar patches específicos si no se pueden actualizar inmediatamente.
Los administradores deben monitorear las versiones del software y asegurarse de que los sistemas estén protegidos contra la explotación de esta vulnerabilidad.