¿Qué es?
Una vulnerabilidad de subida arbitraria de archivos (CWE-434) en el componente Admin Image Handler del sistema SourceCodester Food Ordering System 1.0. El archivo afectado es admin/update_food.php, donde la manipulación del argumento cmd permite a atacantes remotos subir archivos maliciosos sin restricciones.
Productos y versiones afectados
SourceCodester Food Ordering System 1.0 con el componente Admin Image Handler activo.
Impacto y explotación
CVSS 7.3 (alto). Exploit disponible públicamente y puede estar siendo utilizado. Técnicas MITRE ATT&CK asociadas: T1078 – Valid Accounts y T1105 – Ingress Tool Transfer. EPSS indica un 0.3% de probabilidad de explotación en los próximos 30 días (percentil 22%). Shodan reporta 0 hosts expuestos actualmente.
Recomendaciones
Actualizar inmediatamente el sistema o aplicar parches oficiales si están disponibles. Monitorear accesos al archivo admin/update_food.php y restringir privilegios administrativos.
| CVE | CVE-2026-127283 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| EPSS | 0.3% en 30 días (percentil 22) |
| CWE | CWE-284, CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.