Carga No Restringida de Archivos Peligrosos en la Aplicación PuMuKIT (CVE-2026-4337)

Se ha identificado una vulnerabilidad crítica de carga de archivos con tipos peligrosos sin restricciones (Unrestricted Upload of File with Dangerous Type, clasificada como CWE-434) en la aplicación PuMuKIT. Esta falla permite que un atacante no autenticado cargue cualquier tipo de archivo al servidor, dirigiéndolo a cualquier ruta en la que el usuario del servidor web posea permisos de escritura. Esto también podría permitir la eliminación arbitraria de archivos del sistema.

Vector de Ataque: Remoto vía red; complejidad baja, sin requerir privilegios ni interacción del usuario.

Impacto: Integridad y disponibilidad altas, confidencialidad baja. Conduce a la ejecución remota de código (RCE), sobrescritura o eliminación de archivos críticos y compromiso sustancial del servidor afectado.

Parches y Actualizaciones: aplicar el parche o actualización más reciente proporcionado por el proveedor de PuMuKIT que incorpore validación estricta de tipos MIME y restricciones de subida de archivos.

Mitigaciones Temporales: Configurar el servidor web o la aplicación para restringir mediante una lista blanca (whitelist) las extensiones y tipos MIME permitidos para las cargas de archivos, restringir los permisos de escritura en los directorios de carga para que únicamente el proceso de la aplicación y no el usuario general del servidor web posea privilegios de escritura en rutas críticas.

Buenas Prácticas: almacenar los archivos cargados fuera del directorio raíz web principal (web root) o deshabilitar la ejecución de scripts dentro de las carpetas de almacenamiento multimedia.

https://nvd.nist.gov/vuln/detail/cve-2026-4337