Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2025-67649 |
| Fabricante | PHP Jabbers |
| Producto | Car Rental Script |
| Fecha de publicación | 2026-07-31 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Puntuación de prioridad (RyzerBot) | 185 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2025-67649 es una vulnerabilidad de inyección SQL (CWE-89) identificada en el script de alquiler de coches de PHP Jabbers. La falla se produce porque los parámetros responsables de las funciones de ordenación no neutralizan correctamente la entrada del usuario. Esto permite que un atacante no autenticado, mediante una petición especialmente diseñada, inyecte comandos SQL arbitrarios en la base de datos.
La vulnerabilidad ha sido corregida en la versión 4.1 del producto. Según la información disponible, el fallo afecta a todas las versiones anteriores a 4.1.
Productos y versiones vulnerables
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| PHP Jabbers Car Rental Script | Todas las versiones anteriores a 4.1 | 4.1 |
No se han publicado otros productos o versiones afectados en las fuentes consultadas.
Impacto y riesgo
La explotación exitosa de esta vulnerabilidad podría permitir a un atacante:
- Acceder y extraer información confidencial de la base de datos (clientes, reservas, datos de pago, etc.).
- Modificar o eliminar datos de la base de datos.
- En algunos casos, escalar privilegios o comprometer el servidor subyacente.
Dado que la vulnerabilidad tiene un impacto potencial alto en la confidencialidad y la integridad (según el vector CVSS: VC:H/VI:H) y puede ser explotada sin autenticación, el riesgo se considera crítico para cualquier sitio que utilice una versión afectada de este script.
Estado de explotación conocida
Las fuentes consultadas (NVD, CVE.org, cert.pl) no indican que esta vulnerabilidad esté siendo explotada activamente en el momento de la publicación. Sin embargo, debido a su criticidad y a la facilidad de explotación, se recomienda aplicar la actualización de forma inmediata.
Indicadores de compromiso (IOC)
No se han publicado indicadores de compromiso (IOC) en las fuentes oficiales consultadas. No se deben inventar.
Cómo comprobar si estás afectado
Para determinar si su instalación de PHP Jabbers Car Rental Script es vulnerable, siga estos pasos:
- Acceda al panel de administración de su script.
- Localice la sección de información del sistema o la versión del producto.
- Verifique el número de versión. Si es inferior a 4.1, está afectado.
- Si no puede encontrar la versión, consulte la documentación del producto o contacte con el soporte de PHP Jabbers.
Mitigación y actualización
La única mitigación confirmada por las fuentes es actualizar a la versión 4.1 del script de alquiler de coches de PHP Jabbers. Puede descargar la actualización desde el sitio oficial del fabricante: https://www.phpjabbers.com/car-rental-script/.
Mientras tanto, si no es posible actualizar de inmediato, se recomienda restringir el acceso al script o aplicar reglas de firewall de aplicación web (WAF) que filtren patrones de inyección SQL, aunque estas medidas no son sustitutivas de la actualización.
Checklist para administradores
- ☐ Identificar la versión actual de PHP Jabbers Car Rental Script.
- ☐ Si la versión es anterior a 4.1, planificar la actualización inmediata.
- ☐ Realizar una copia de seguridad completa de la base de datos y del sitio.
- ☐ Descargar la versión 4.1 desde el sitio oficial.
- ☐ Aplicar la actualización siguiendo las instrucciones del fabricante.
- ☐ Verificar que la actualización se ha instalado correctamente.
- ☐ Monitorear los logs del servidor en busca de posibles intentos de explotación.
- ☐ Informar al equipo de seguridad sobre la vulnerabilidad y las acciones tomadas.
Preguntas frecuentes
¿Qué es CVE-2025-67649?
Es una vulnerabilidad crítica de inyección SQL en el script de alquiler de coches de PHP Jabbers, que permite a un atacante no autenticado ejecutar comandos SQL maliciosos.
¿Qué versiones están afectadas?
Todas las versiones anteriores a 4.1 del script de alquiler de coches de PHP Jabbers.
¿Cómo se soluciona?
Actualizando a la versión 4.1, que incluye la corrección de la vulnerabilidad.
¿Hay explotación activa confirmada?
No, las fuentes oficiales no reportan explotación activa hasta la fecha de publicación.
¿Qué debo hacer si no puedo actualizar inmediatamente?
Considere medidas temporales como restringir el acceso al script, aplicar reglas de WAF o aislar el servidor. Sin embargo, la actualización es la única solución definitiva.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas en la sección siguiente.