Qué es y cómo funciona
La vulnerabilidad CVE-2026-82504 es una falla crítica (CVSS 9.8) en VITEC EZ TV Platform Server. Se trata de una carga arbitraria de archivos sin autenticación (CWE-434) en el manejador de subidas. Un atacante remoto puede subir cualquier archivo, incluyendo uno malicioso ASPX, simplemente enviando el nombre del archivo deseado en la cabecera HTTP X-FILENAME, sin necesidad de credenciales ni validación del tipo de archivo. El archivo se sube a un directorio web accesible y es inmediatamente ejecutable por el servidor web, logrando ejecución remota de código (RCE) en el contexto del proceso del servidor.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de VITEC EZ TV Platform Server anteriores a la 8.5.0.
Impacto y probabilidad de explotación
El impacto es la toma completa de control remoto del servidor afectado. Según la clasificación MITRE ATT&CK, esta vulnerabilidad permite técnicas de explotación de aplicaciones públicas (T1190) y transferencia de herramientas (T1105). Aunque es un CVE crítico publicado recientemente, una búsqueda en Shodan no muestra hosts indexados con esta vulnerabilidad detectada, lo que sugiere que el volumen de objetivos expuestos directamente en internet podría ser bajo, aunque esto no descarta ataques dirigidos.
Qué hacer
Se han publicado parches para las versiones 8.3.0, 8.3.1, 8.4.0 y 8.4.1. Los usuarios que ejecutan versiones anteriores a la 8.3.0 deben actualizar a la versión 8.5.0 o superior.
| CVE | CVE-2026-82504 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| CWE | CWE-306, CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.