¿Qué es la vulnerabilidad CVE-2026-120349?
Se ha descubierto una vulnerabilidad crítica de seguridad en dayrui XunRuiCMS hasta la versión 4.7.4, catalogada como CVE-2026-120349, que comparte similitudes con incidentes previos en la librería zip de Rust. El fallo afecta específicamente a la función str_replace ubicada en el archivo /var/www/html/zzmob/index.php del componente Mobile Site Directory.
La manipulación indebida del argumento dirname provoca una vulnerabilidad de inyección de código. Este vector de ataque puede ser ejecutado de forma remota por atacantes sin privilegios previos, recordando a fallos de control de accesos como CVE-2026-58946 de escalada de privilegios.
¿A quién afecta y cuál es su gravedad?
La vulnerabilidad ha recibido una puntuación CVSS de 3.1 de 7.3, lo que la clasifica con un nivel de gravedad alto. La métrica del vector se define como CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L, destacando que no requiere autenticación ni interacción del usuario.
El exploit correspondiente ya ha sido liberado al público y podría ser utilizado activamente para ataques. El fabricante fue contactado con antelación sobre esta divulgación pero no emitió ninguna respuesta ni solución oficial, lo que incrementa el riesgo junto a otros fallos como CVE-2026-58957 en ActivityStarter.java.
¿Cómo me protejo?
Debido a la falta de respuesta del fabricante y la disponibilidad pública de exploits, es fundamental aplicar medidas de mitigación manuales de forma inmediata en los servidores expuestos.
A continuación se detallan los pasos recomendados para proteger la plataforma:
- Bloquee o restrinja el acceso externo al archivo /var/www/html/zzmob/index.php mediante la configuración del servidor web.
- Aplique un filtrado estricto de validación de entradas sobre el parámetro dirname para evitar la inyección de código.
- Revise los registros de acceso y errores en busca de peticiones sospechosas dirigidas al directorio móvil.