Tipo y contenido
Comprobar extensión, tipo declarado y contenido real sin confiar solo en el navegador.
SEGURIDAD DE APLICACIONES · CWE-434
Carga de archivos sin controles suficientes.
CWE-434 describe la aceptación de archivos de tipo peligroso que pueden procesarse dentro del entorno de una aplicación y provocar consecuencias no previstas.
CLASIFICACIÓNCWE-434
SUPERFICIECarga de archivos
RIESGODepende del procesamiento
TRATAMIENTOValidar, aislar y probar
ACLARACIÓN DE BÚSQUEDA
“File 434” suele referirse a CWE-434.
No existe un formato universal llamado “file 434” relacionado con ciberseguridad. En este contexto, la referencia útil es CWE-434, una categoría de debilidad mantenida por MITRE.
La presencia de un formulario de carga no implica automáticamente una vulnerabilidad. El riesgo aparece cuando la aplicación acepta, almacena, sirve o procesa archivos sin restricciones coherentes con su propósito.
CONTROLES RECOMENDADOS
La extensión es solo una señal, no una garantía.
Los controles deben aplicarse en capas y mantenerse del lado del servidor. La implementación concreta depende del lenguaje, framework, almacenamiento y flujo de negocio.
Nombre y ubicación
Generar nombres seguros y guardar fuera del directorio público o ejecutable.
Procesamiento
Procesar archivos con privilegios mínimos y separar servicios cuando el riesgo lo justifique.
Acceso y propósito
Restringir quién puede cargar, consultar o reemplazar archivos.
Registro y alertas
Registrar rechazos, errores y patrones anómalos sin exponer rutas internas.
Casos adversarios
Evaluar extensiones dobles, contenido mixto, tamaños, nombres y rutas manipuladas.
IMPACTO POSIBLE
El contexto determina la severidad.
Un archivo peligroso puede facilitar ejecución de código, contenido activo, malware almacenado, abuso de recursos o exposición de datos. El impacto cambia según dónde se guarde, cómo se procese y quién pueda recuperarlo.
Renombrar el archivo o revisar únicamente su extensión no basta. También deben considerarse contenido real, permisos, rutas, tamaño, descompresión, procesamiento posterior y forma de entrega al usuario.
PREGUNTAS FRECUENTES
Respuestas rápidas sobre CWE-434
¿Bloquear archivos .php elimina el riesgo?
No. Pueden existir otras extensiones ejecutables, dobles extensiones, diferencias de interpretación o formatos activos. La lista permitida debe corresponder al propósito y combinarse con validación y aislamiento.
¿Un antivirus reemplaza la validación?
No. Puede aportar una capa adicional, pero no sustituye controles de tipo, tamaño, autorización, almacenamiento, permisos y procesamiento.
¿Cómo se comprueba durante un pentest?
Se acuerdan alcance y reglas antes de probar. La evaluación revisa controles de carga y procesamiento con archivos seguros diseñados para demostrar la condición sin introducir daño.