El documento analiza dos vulnerabilidades en un portal web: 1) inyección de código SQL que permite acceso no autorizado a la base de datos y 2) carga arbitraria de archivos que podría usarse para subir malware. El plan de implementación incluye modificar métodos en archivos PHP, agregar validaciones en el frontend, y restringir permisos de carpetas para mitigar estas vulnerabilidades de alto riesgo.

1. ANALISIS E IMPLEMENTACIÓN DE STOPPER DE SEGURIDAD
Item Detalle Vulnerabilidad Recurso Afectado Impacto Probabilidad Riesgo Tipo remedación
1
Inyección de Código SQL
Arbitrario– SQLI Portal Web Alta Alta Critico
Programación/
Configuración
Evidencia
Plan de Implementación
1) Archivos afectados: sistema/capa_datos/ClsExtra_Dat.php
1.1. Método modificado: get_NuestrosProductosWeb($nParCodGrp,
$nCodCont)

2. 1.2. Método modificado: get_Menu_by_Principal_Nosotros($nParDstCod )
2) sistema/capa_datos/ClsFrontEnd_Dat.php
2.1. Método modificado: Fe_DetalleMenu_by_nParCodigo($nParCodigo)
2.2. Fe_Menu_by_nParCodigoPadre_nParCodigoContenidoHijo($nParCodigoPadre,
$nParCodigoContenidoHijo)

3. 2.3. getTarifarioTransparencia($nParCodigoPadre)
3) Archivo modificado: sistema/capa_datos/ClsPersona_Dat.php
MD5 Decryption.- Laobservaciónimplementaciónpormediode consultasparametrizadas.
Nota.- La subsanaciónde éstavulnerabilidadde ecriptaciónde claves,se implementaenéstasección
3.1. VerificarUsuario($cUserName, $cUserClave,$objCnx="")

5. Item Detalle Vulnerabilidad
Recurso
Afectado Impacto Probabilidad Riesgo Tipo remedación
2
Carga arbitrariade archivos Portal Web Alta Alta Critico
Programación/
Configuración
Evidencia
Durante el análisis del presente recurso afectado, se ha constatado que el mismo permite
una carga arbitraria de archivos dentro de la plataforma.
En la opción "Menú Superior -> Tarifario -> formulas" pertenecientes a su panel administrativo, existe
la opción de carga de imagen. En dicha opción es posible la carga de cualquier archivo, sin importar el
contenido y/o laextensión
Plan de Implementación
1) sistema/capa_negocio/Fnc_Contenido.php
1.1. Método contenido_13_agregar ($frm)
A nivel de html
A nivel de php

7. 2) archivo modificado : sistema/capa_presentacion/js/subir_archivos.js
2.1. Métodos modificados: subir_img_progressbar(opcion)

8. 2.2. Método modificado: subir_file_progressbar(opcion)

9. 2.3. Nuevos metodos

10. archivo modificado : /home/devopss/public_html/sistema/capa_presentacion/css/Style.css
archivo modificado : /home/devopss/public_html/sistema/capa_presentacion/frmadminweb.php
Permisode carpetas