Existe una vulnerabilidad de recorrido de ruta en CubeCart anterior a la versión 6.6.0, que podría permitir a un usuario con privilegios administrativos acceder a directorios de nivel superior que no deberían ser accesibles.

La vulnerabilidad de Path Traversal en CubeCart permite a un atacante, con acceso a una cuenta administrativa, manipular la ruta de archivos para acceder a recursos fuera del directorio web previsto. Esto podría incluir la lectura de archivos de configuración, código fuente, o incluso archivos del sistema operativo, exponiendo información confidencial. Un atacante podría, por ejemplo, acceder a archivos de base de datos o archivos de registro que contengan credenciales de usuario o información de transacciones. La gravedad del impacto depende del nivel de acceso que el atacante pueda obtener y de la sensibilidad de los datos almacenados en los directorios accesibles.

1. Reservado2026-04-13
2. Publicada2026-04-17
3. EPSS actualizado2026-04-24

La mitigación principal para CVE-2026-35496 es actualizar CubeCart a la versión 6.6.0 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible, se recomienda restringir el acceso a los directorios del servidor web y revisar cuidadosamente los permisos de los archivos. Implementar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan secuencias de caracteres sospechosas en la ruta de los archivos puede proporcionar una capa adicional de protección. Después de la actualización, verifique la integridad del sistema revisando los registros de acceso y buscando cualquier actividad inusual.