HIGH

File Upload Vulnerabilities

Subida de archivos sin validación adecuada que permite ejecutar código malicioso

Intermedio

Modo Reto activo — explora libremente. Activa el Modo Tutorial si necesitas orientación.

Endpoint de la API:

Ejemplos de explotación:

Verificar endpoint

Comprobar configuración del endpoint de subida

/api/upload

Upload .php (webshell)

Intentar subir archivo PHP que ejecutaría código en el servidor

/api/upload?testExt=php

Upload .jsp (Java webshell)

Archivo JSP ejecutable en servidores Java/Tomcat

/api/upload?testExt=jsp

Double extension bypass (.jpg.php)

Algunos validadores sólo comprueban la última extensión — subir imagen.jpg.php

/api/upload?testExt=jpg.php

MIME bypass — Content-Type falso

Subir .php con Content-Type: image/jpeg para evitar validación MIME

/api/upload?testMime=image/jpeg&ext=php

Null byte injection (shell.php%00.jpg)

En sistemas vulnerables, el null byte trunca el nombre y ejecuta .php

/api/upload?testExt=php%00.jpg

Magic bytes bypass — GIF89a + PHP

Añadir cabecera GIF89a al inicio de un script PHP para pasar validación de magic bytes

/api/upload?testMagic=gif+php

SVG con XSS embebido

Los SVG pueden contener scripts: <svg onload=alert(1)> ejecutado al renderizarse

/api/upload?testExt=svg

DoS — archivo de gran tamaño (zip bomb)

Subir un archivo muy grande o zip bomb para agotar recursos del servidor

/api/upload?testSize=large

Vulnerabilidad Alta

Este endpoint acepta archivos sin validar el tipo, tamaño o contenido. Un atacante puede subir archivos ejecutables (.php, .jsp, .aspx), scripts maliciosos, o archivos diseñados para explotar vulnerabilidades del servidor. No hay sanitización de nombres de archivo ni restricciones de ubicación de almacenamiento.

Ver Documentación Completa de la API

Esta aplicación es vulnerable por diseño - Solo para propósitos educativos