Recorrido de rutas y subida de archivos

En el recorrido de rutas, el código une una carpeta base con un nombre que envía la persona y abre el resultado. Si el nombre trae referencias a la carpeta superior, el resultado puede quedar fuera de la carpeta base. El fallo no está en el archivo que se alcanzó, sino en que nadie comprobó que la ruta final siguiera dentro de donde debía.

Abre descargas-codigo.txt y descargas-pruebas.txt. La prueba D-02 usó un archivo de texto que el propio equipo dejó plantado en la carpeta superior: no se pidió ningún archivo real del sistema.

La evidencia de un recorrido de rutas es un archivo que vive fuera del directorio que la función debería poder leer. Un buen registro incluye el control: pedir ese mismo nombre sin subir de carpeta y comprobar que no existe dentro de la carpeta de facturas. Con eso queda claro que lo que se leyó está en otro sitio.

Una subida de archivos segura no confía en nada de lo que dice el cliente: ni en el tipo declarado, ni en el nombre, ni en la extensión. El tipo declarado es una cabecera que escribe quien envía, de modo que comprobarla no valida el archivo. La evidencia S-02 y S-03 lo demuestra con el mismo archivo: solo cambió lo que el cliente dijo que era.

Abre subida-codigo.txt y mira qué lee el código antes de aceptar o rechazar.

CWE-434 recoge las medidas que juntas cierran el riesgo: una lista de extensiones permitidas validada en el servidor, comprobar el contenido real del archivo y no solo su nombre ni su tipo declarado, generar el nombre en el servidor en lugar de usar el que envía el cliente, y guardar los archivos fuera de la raíz pública o en un lugar donde no se ejecuten scripts. Ninguna sola basta. Limitar el tamaño es una buena práctica, pero no corrige este fallo, y esconder el nombre de la carpeta no es un control.

Un hallazgo honesto separa lo confirmado de lo potencial. Aquí se confirmó que el servidor acepta un archivo cuyo tipo declarado es falso y que el directorio de subidas tiene habilitada la ejecución de scripts. No se probó ejecutar nada, porque el alcance no lo autoriza. El informe lo dice así, con el impacto potencial (ejecución de código) y la petición de confirmarlo en un entorno autorizado, en lugar de afirmar una ejecución que no ocurrió.