# Subida de Archivos

## Rutas y componentes

- `admin/kcfinder/upload.php`: endpoint publico, responde 200 sin login con error de folder writable.
- `admin/kcfinder/upload/`: existe, contiene `.htaccess` que desactiva PHP solo para mod_php4/mod_php5.
- `admin/test/upload/`: existe y fue configurado por login como uploadDir de KCFinder.
- `admin/cache/upload/`: existe con `index.html`.
- `admin/storage/`: protegido por `.htaccess`, pero permite imagenes por `FilesMatch`.
- `modules/Documents/`: maneja archivos/documentos y descargas con permisos.
- `MailManager/third-party/AjaxUpload`: libreria de upload para correo.

## Riesgos

- P1: KCFinder + `test/upload` bajo webroot.
- P1/P2: `.htaccess` de KCFinder upload no cubre PHP-FPM/lsapi moderno; confirmar que PHP no ejecuta en uploads desde servidor.
- P2: storage permite imagenes; validar que no haya polyglots, SVG peligroso o MIME confuso.
- P2: Documents y MailManager requieren pruebas autenticadas separadas de permisos/tipos MIME.

No se subieron archivos ni se probaron bypasses.