Path Traversal via Avatar Upload — Lab de PATH TRAVERSAL basado en reporte real | BBLabs

FácilVDP30 min

Path Traversal via Avatar Upload

Foro de seguridad donde el nombre de archivo del avatar se preserva sin sanitizar, permitiendo leer archivos del sistema como /etc/passwd via path traversal.

340 visitas24 completadosActualizado ago 2026

Iniciar sesión para empezar

Aprende a encontrar este bug

Un reporte real de bug bounty, reproducido para que lo practiques.

Crea tu cuenta y practica bugs reales que se pagaron. Descarga el entorno, encuéntralo y aprende la técnica exacta — tu camino a tu primer bounty.

hunters entrenando: 650
labs de reportes reales: 50
completaciones: 380
en bounties practicados: $200.000

40 flags capturadas esta semana

Ya tengo cuenta

Acceso a todos los labs · sin permanencia · cancela cuando quieras

Hunters que lo han resuelto· 8

@horsemanHace 6 horas

danielmijan11

@danielmijan11Hace 6 días

@vazquezdv182005Hace 7 días

flyingwhales

@flyingwhalesHace 17 días

@mattkingstHace 17 días

rodegarrido1

@rodegarrido1Hace 20 días

cibx

@cibxHace 28 días

@alex.burja.2000Hace 29 días

Objetivos

1

Subir un avatar y observar la URL resultante

2

Notar que el filename se preserva en el path

3

Manipular el filename con ../../

4

Leer /etc/passwd a traves de la URL del avatar

Logro que recibirás

Cuando resuelvas este lab desbloqueas este logro compartible

BBLABS.ESLab Resuelto

FácilVDP

// achievement_unlocked

Path Traversal via Avatar Upload

Path Traversal

ago 2026

gorka

solved_by@gorkaMiembro desde mar 2026

bblabs.es// real bug bounty practice

Writeups de la comunidad

Credenciales

Usuario	Contrasena	Rol
(registrar cuenta propia)		user

Despliegue

# Opcion 1: autodeploy
./autodeploy.sh

# Opcion 2: manual
docker compose up --build

# Acceder
http://localhost:1300

Compatible con macOS, Linux y Windows (Docker Desktop / WSL).

Para parar:

./autodeploy.sh destroy
# o: docker compose down -v

Contenido del Lab

La aplicacion

ZeroDay Forum es un foro de seguridad informatica con perfiles de usuario y subida de avatares.

La vulnerabilidad

El endpoint de avatar preserva el filename del upload en la ruta del archivo sin sanitizar. GET /api/profile/avatar/:userId construye la ruta usando el filename almacenado, permitiendo traversal con ../../../../etc/passwd.

Cadena de ataque

1. Registrarse en el foro
2. Subir avatar con filename: ../../../../etc/passwd
3. Visitar /api/profile/avatar/:userId
4. Obtener contenido de /etc/passwd

Solucion interactiva

Accede a /writeup dentro de la aplicacion para una guia paso a paso con botones interactivos.

Flag

(contenido de /etc/passwd)

Remediacion

Sanitizar filenames: eliminar ../ y caracteres especiales
Usar path.basename() para extraer solo el nombre
Almacenar archivos con nombres generados (UUID)
Verificar que la ruta final esta dentro del directorio permitido