Bypass de Autenticación y Ejecución de Scripts de Depuración sin Autorización en FearlessCMS (CVE-2026-63190)

Se ha descubierto una vulnerabilidad crítica compuesta por múltiples fallas de seguridad en FearlessCMS (versiones anteriores a la 0.1.4). Cinco scripts de depuración y prueba ubicados en el directorio admin/ realizan operaciones privilegiadas sin verificar la autenticación del usuario mediante isLoggedIn(), omitiendo además controles contra falsificación de solicitudes (CSRF) y permitiendo saltos de directorio (path traversal, CWE-22, CWE-288, CWE-306). Esto permite que un atacante utilice URIs manipuladas (ej. /./admin/) para saltarse el muro de acceso e interactuar con funciones del sistema de archivos.

Vector de Ataque: Remoto vía red; complejidad baja, sin requerir privilegios previos ni interacción del usuario.

Impacto: Confidencialidad e integridad altas, disponibilidad baja. Permite la lectura arbitraria de archivos del sistema y enumeración de directorios mediante scandir() y file_get_contents(), escritura de archivos .md con JavaScript incrustado (provocando Cross-Site Scripting almacenado / XSS, CWE-79) y agotamiento de espacio en disco (disk exhaustion) a través de peticiones masivas a los manejadores de registros y vistas previas. Dado que PHP se ejecuta frecuentemente con privilegios de superusuario (root), el impacto en el sistema de archivos se amplifica significativamente.

Parches y Actualizaciones: actualizar inmediatamente FearlessCMS a la versión 0.1.4 o superior provista por el mantenedor.

Mitigaciones Temporales: eliminar por completo o restringir drásticamente el acceso mediante reglas de control web (como autenticación a nivel de servidor o reglas de bloqueo en el proxy/servidor web) a los scripts de prueba y depuración ubicados bajo el directorio admin/.

Buenas Prácticas: evitar mantener scripts de diagnóstico o depuración (debug endpoints) habilitados en entornos de producción, y asegurar que la aplicación web no se ejecute bajo cuentas con privilegios elevados (root).

https://nvd.nist.gov/vuln/detail/cve-2026-63190