Qué es y cómo funciona
Una vulnerabilidad de subida arbitraria de archivos (CWE-434) en la función DiyFileUpload del archivo /ws.asmx permite a atacantes remotos cargar archivos maliciosos sin restricciones. Esto se combina con un control de acceso inadecuado (CWE-284), facilitando la explotación.
Productos y versiones afectadas
Wuxi Wubang Five-in-One Safety Production Management Information System hasta la versión 3.5.
Impacto y explotación
CVSS: 7.3 (Alto). El exploit es público y podría usarse para ataques remotos, incluyendo transferencia de herramientas de ingreso (T1105) y uso de cuentas válidas (T1078). Shodan reporta 0 hosts expuestos actualmente, pero el riesgo persiste si hay instalaciones sin escanear. El fabricante fue contactado pero no respondió.
Qué hacer
Actualiza el software a una versión posterior a 3.5 si el fabricante libera parches. Monitorea el sistema por actividades sospechosas y restringe el acceso a /ws.asmx si es posible.
| CVE | CVE-2026-129262 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| CWE | CWE-284, CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.