Vulnerabilidades y Avisos de Seguridad: Carga sin restricciones de archivos en la aplicación PuMuKIT

Resumen de la alerta

INCIBE-CERT ha comunicado una vulnerabilidad de severidad alta en PuMuKIT, una plataforma de vídeo de código abierto. El fallo, identificado como CVE-2026-4337, permite la carga sin restricciones de archivos potencialmente peligrosos.

El problema afecta a las versiones de PuMuKIT anteriores a la 5.0.8. La vulnerabilidad ha sido descubierta por David Herrero de la Peña y está registrada por INCIBE-CERT con el identificador INCIBE-2026-795.

La fuente indica que no hay explotación conocida y que, por el momento, no se ha reportado una solución oficial.

Recursos afectados

• PuMuKIT, versiones anteriores a la 5.0.8.

Descripción de las vulnerabilidades

La vulnerabilidad CVE-2026-4337 corresponde a una carga sin restricciones de archivos de tipo peligroso, clasificada como CWE-434. Este tipo de debilidad se produce cuando una aplicación permite recibir o almacenar archivos sin aplicar controles suficientes sobre su tipo o destino.

Según la información publicada, un usuario no autenticado podría cargar cualquier tipo de archivo en el servidor, en rutas donde el usuario del servidor web disponga de permisos de escritura. El fallo también podría permitir la eliminación de archivos.

El vector CVSS v4.0 publicado es AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H/SC:L/SI:L/SA:L. Entre sus elementos más relevantes, el vector indica que el ataque puede realizarse a través de red, presenta baja complejidad y no requiere autenticación ni interacción de una persona usuaria.

Impacto y nivel de riesgo

La vulnerabilidad tiene una puntuación base de 8.8 sobre 10 en CVSS v4.0, por lo que INCIBE-CERT la clasifica con severidad alta.

Si un atacante lograse explotar el fallo, podría cargar archivos de cualquier tipo en ubicaciones escribibles por el servidor web. Asimismo, existe la posibilidad de borrar archivos. Estas capacidades podrían afectar especialmente a la integridad y disponibilidad de los sistemas afectados.

La información disponible no confirma ataques ni explotación activa de CVE-2026-4337. Por tanto, debe tratarse como una vulnerabilidad existente con impacto potencial elevado, sin afirmar que esté siendo utilizada en campañas o incidentes reales.

Solución y medidas recomendadas

No hay solución reportada por el momento. La fuente no proporciona un parche, una versión corregida ni instrucciones de mitigación específicas.

Mientras se dispone de información oficial adicional, las organizaciones afectadas pueden valorar medidas preventivas generales relacionadas con el riesgo descrito. Estas actuaciones no corrigen la vulnerabilidad ni sustituyen una actualización oficial.

Recomendaciones para organizaciones afectadas

1. Identificar las instalaciones de PuMuKIT y comprobar si utilizan una versión anterior a la 5.0.8.
2. Revisar la exposición de las instancias afectadas, especialmente aquellas accesibles desde redes no confiables.
3. Aplicar el principio de mínimo privilegio al usuario del servidor web, limitando sus permisos de escritura a las rutas estrictamente necesarias para el funcionamiento del servicio.
4. Supervisar los directorios donde el servidor web tenga capacidad de escritura para detectar cargas o eliminaciones de archivos no esperadas.
5. Seguir las comunicaciones oficiales de PuMuKIT e INCIBE-CERT para conocer la disponibilidad de una solución o nuevas indicaciones técnicas.