Fallos del tipo CWE-553
1 resultadoShell de comando em diretório acessível externamente
Script ou executável de shell (como .sh, .bat ou .php com funções de execução) é deixado em um diretório web público, permitindo que invasores o executem remotamente para obter controle do servidor. É um descuido grave de deploy: o arquivo fica ali, sem proteção, esperando ser encontrado.
Um desenvolvedor deixa um script de diagnóstico (por exemplo, um .php que roda comandos do sistema) em /var/www/html/admin/ pensando que é privado, mas a pasta não tem autenticação. Um atacante descobre a URL, acessa o script e executa comandos arbitrários no servidor.
Remova imediatamente scripts de shell do diretório web público; se precisar deles, guarde fora da raiz web ou proteja com autenticação forte. Revise o deploy: configure o servidor para bloquear execução de scripts em áreas de upload e mantenha apenas arquivos estáticos nos diretórios acessíveis.