Cinco máquinas · cinco familias

Qué falla, por qué falla y dónde probarlo.

Cada laboratorio ataca una familia de vulnerabilidad distinta, con el aviso real que la describe. Todos son máquinas desechables: una hora, dos evidencias y fuera.

Inyección e inclusión Corrupción de memoria Autenticación y confianza SSRF y verificación de destino Protocolo HTTP

Inyección e inclusión

php2shell · CVE-2026-109618 / 109619

PHP2Shell

Fácil

El visor incluye la ruta que le pasas, así que lees ficheros como el usuario del servidor web. Subes un fichero cuyo nombre es código PHP, PHP lo escribe dentro de la sesión, y el visor lo incluye: ejecución. El CVE del mismo nombre describe una corrupción en el intérprete al agotar memoria; aquí se explota la misma superficie —la sesión y la inclusión— por la puerta de la aplicación.

40 pts · 2 flagspuerto 801 h

Entrar →

Corrupción de memoria

CVE-2026-56848

Support Desk

Difícil

Un servicio en C libera el buffer de una nota pero deja el puntero publicado. Sigues leyendo memoria liberada —de ahí sale la dirección de libc— y sigues escribiendo en ella: dentro del buffer vive el puntero de función que el servicio llama. Es la clase del use-after-free de CVE-2026-56848: memoria que ya no es tuya y que el proceso sigue usando para decidir el siguiente paso.

40 pts · 2 flagspuerto 13371 h

Entrar →

Autenticación y confianza

CVE-2026-18353

Paper Trail

Media

El secreto con el que se firman los JWT viaja en el bundle que descarga tu navegador, y el servidor se cree el rol que trae el token sin contrastarlo con la base. Con eso entras como administrador, lees ficheros como el servicio y usas su fetch para llegar a un agente interno que no comprueba quién llama. La lección de CVE-2026-18353: una lista blanca solo sirve si validas y conectas con el mismo criterio.

40 pts · 2 flagspuerto 80801 h

Entrar →

SSRF y verificación de destino

CVE-2026-105483 / 106069 · CVE-2026-50168

Fullwidth

Media

Un proxy de imágenes con lista negra de destinos compara texto: bloquea 127.0.0.1 pero no 127.1, ni 2130706433, ni 0x7f000001. El parser de URL normaliza todas a la misma dirección después del filtro. Es el desajuste entre lo que se valida y lo que se conecta que describen los avisos de verificación de destino de Node y de Angular SSR.

40 pts · 2 flagspuerto 80801 h

Entrar →

Protocolo HTTP

CVE-2026-58044

Queue

Difícil

El proxy reconstruye las cabeceras y manda el cuerpo en crudo por una conexión reutilizada, sin Content-Length. El backend deja de saber dónde acaba la petición y lee el cuerpo como la siguiente: una petición dentro de otra, con su respuesta en cola para tu próximo intento. Es la desincronización que describe CVE-2026-58044 en los proxies basados en Node.

40 pts · 2 flagspuerto 80801 h

Entrar →