Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-49827 | SMEWebify | WebErpMesv2 | 2026-08-13 | CRITICAL | 9.8 | 230 | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
WebErpMesv2 es un sistema web de gestión de recursos y ejecución de manufactura. Las versiones 1.19 y anteriores permiten que cualquier usuario auto‑registrado suba archivos PHP arbitrarios a través del parámetro scan_file en la sección de gastos de recursos humanos. Al combinarse con la apertura de registro (sin invitación) y un middleware de control de roles defectuoso, se crea una cadena que permite la ejecución remota de código (RCE) sin autenticación.
Productos y versiones vulnerables
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| SMEWebify | WebErpMesv2 | <= 1.19 |
Impacto y riesgo
La vulnerabilidad permite a un atacante con acceso a la interfaz de registro subir y ejecutar código PHP arbitrario en el servidor, comprometiendo la integridad, disponibilidad y confidencialidad de los datos. Dado que no requiere autenticación previa, cualquier usuario que pueda registrarse puede explotar la falla.
Estado de explotación conocida
No se dispone de evidencia de explotación activa en producción. La descripción oficial indica que la cadena es efectiva, pero no confirma ataques documentados.
Indicadores de compromiso (IOC)
No existen IOC estructurados extraídos de las fuentes consultadas. No se deben inventar.
Cómo comprobar si estás afectado
1️⃣ Verifica que tu instalación sea WebErpMesv2 y que la versión sea <= 1.19.
2️⃣ Intenta registrar un usuario nuevo (sin invitación).
3️⃣ Accede a la sección de gastos de recursos humanos y prueba subir un archivo PHP simple (por ejemplo, ) mediante el parámetro scan_file.
4️⃣ Si el archivo se ejecuta y muestra la salida de phpinfo(), la instalación está vulnerable.
Mitigación y actualización
⚠️ La solución oficial es aplicar el parche incluido en el commit 5c54862fa044b363fd2be03d586750e81afd6818 de la rama principal de WebErpMesv2. Se recomienda actualizar a la versión 1.20 o superior, donde la vulnerabilidad ya está corregida. Si la actualización no es viable de inmediato, se puede bloquear el acceso al parámetro scan_file mediante reglas de firewall o deshabilitar la subida de archivos PHP en la configuración del servidor.
Checklist para administradores
- ☐ Identificar todas las instalaciones de WebErpMesv2 en el entorno.
- ☐ Confirmar las versiones instaladas.
- ☐ Aplicar el parche o actualizar a la versión 1.20+.
- ☐ Revisar la configuración de registro para requerir invitación o autenticación.
- ☐ Deshabilitar la subida de archivos PHP en la sección de gastos de recursos humanos.
- ☐ Monitorizar logs de acceso y errores en busca de intentos de subida de archivos PHP.
Preguntas frecuentes
¿Qué es WebErpMesv2?
Es un sistema web de gestión de recursos y ejecución de manufactura utilizado por la industria.
¿Cómo afecta esta vulnerabilidad a mi negocio?
Permite la ejecución de código arbitrario en el servidor, lo que puede comprometer datos sensibles y la disponibilidad del servicio.
¿Puedo mitigar la vulnerabilidad sin actualizar?
Se puede bloquear el parámetro scan_file o deshabilitar la subida de archivos PHP, pero la solución definitiva es la actualización.
¿Dónde encuentro el parche?
En el commit 5c54862fa044b363fd2be03d586750e81afd6818 del repositorio oficial de WebErpMesv2.
¿Hay alguna recomendación de auditoría?
Revisar los logs de registro y de subida de archivos para detectar intentos de explotación.