Cuando el nombre del archivo lo pone quien descarga

Un módulo de descargas tiene dos datos: un directorio, que lo pone el programa, y un nombre de archivo, que muchas veces lo pone quien pulsa el enlace. Si el programa pega los dos y abre lo que salga, el directorio deja de ser una frontera y pasa a ser una sugerencia: cualquier nombre que apunte hacia arriba en el árbol de archivos sale de él antes de que nadie mire.

MITRE lo cataloga como CWE-22, limitación indebida de un nombre de ruta a un directorio restringido, conocida como recorrido de directorios; es una debilidad de nivel base. La idea que hay detrás es sencilla: el sistema de archivos entiende el nombre completo, no la intención del programador. Por eso el control tiene que ocurrir después de resolver la ruta y antes de abrir el archivo, y tiene que comparar la ruta resuelta con el directorio permitido.

Conviene separar dos preguntas que suelen confundirse. La primera es dónde quedó el archivo: eso es el recorrido de directorios. La segunda es de quién es el archivo: eso es control de acceso, y se revisa aunque la ruta esté perfectamente confinada. Un portal puede confinar bien y seguir entregándote el documento de otra persona.

Abre el laboratorio y lee DescargaController.php en la carpeta quinchama-descargas. Fíjate en qué parte de la ruta la pone el programa y qué parte llega del enlace. Después abre registro-descargas.txt: la cuarta columna es la ruta que quedó resuelta, es decir, el archivo que el servidor abrió de verdad.

Compara cada línea con la carpeta que el controlador declara como permitida y con la nota de infraestructura del final del registro.

Un hallazgo se mide con el registro, no con la sospecha. Cuenta las descargas cuya ruta resuelta quedó fuera de la carpeta de documentos que declara el controlador. Cuenta líneas, no cuentas: una misma persona puede aparecer varias veces.

rutas-descarga.txt lista cuatro direcciones que entregan archivos. Tres de ellas no toman el nombre del enlace: una lo busca en la base de datos por el identificador del libro, otra lo tiene fijo en el código y la tercera lo saca de un mapa de claves. Esa diferencia es el patrón que conviene reconocer.

El hallazgo no termina en «hay recorrido de directorios». Termina en una frase que el equipo pueda convertir en un cambio: dónde está, qué permitió y qué lo cierra. Y el alcance importa: el archivo de configuración salió por el mismo sitio por el que sale un manuscrito.