Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en eosphoros-ai/db-gpt (CVE-2024-10901)

Fecha de publicación:
20/03/2025
Idioma:
Español
En la versión v0.6.0 de eosphoros-ai/db-gpt, la API web `POST /api/v1/editor/chart/run` permite la ejecución de consultas SQL arbitrarias sin control de acceso. Esta vulnerabilidad puede ser explotada por atacantes para realizar escrituras arbitrarias de archivos, lo que les permite escribir archivos arbitrarios en el sistema de archivos de la víctima. Esto puede provocar la ejecución remota de código (RCE) mediante la escritura de archivos maliciosos como `__init__.py` en el directorio `/site-packages/` de Python.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/07/2025

Vulnerabilidad en Invoke-AI (CVE-2024-10821)

Fecha de publicación:
20/03/2025
Idioma:
Español
Una vulnerabilidad de denegación de servicio (DoS) en el mecanismo de procesamiento de los límites de solicitud multiparte del servidor Invoke-AI (versión v5.0.1) permite a atacantes no autenticados consumir recursos excesivamente. El servidor no gestiona el exceso de caracteres añadidos al final de los límites multiparte, lo que genera un bucle infinito y una denegación de servicio completa para todos los usuarios. El endpoint afectado es `/api/v1/images/upload`.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/04/2026

Vulnerabilidad en phpipam/phpipam (CVE-2024-10721)

Fecha de publicación:
20/03/2025
Idioma:
Español
Se descubrió una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en la aplicación, que pueden ejecutarse en el contexto de otros usuarios que visitan la página afectada. El problema ocurre en la página de opciones de circuitos (https://demo.phpipam.net/tools/circuits/options/). Un atacante puede explotar esta vulnerabilidad para robar cookies, obtener acceso no autorizado a cuentas de usuario o redirigir a usuarios a sitios web maliciosos. La vulnerabilidad se ha corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/04/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10722)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2. Esta vulnerabilidad permite a los atacantes inyectar scripts maliciosos en el campo "Descripción" de los campos personalizados de la sección "GESTIÓN DE IP". Esto puede provocar robo de datos, vulneración de cuentas, distribución de malware, desfiguración de sitios web, manipulación de contenido y ataques de phishing. El problema está corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10723)

Fecha de publicación:
20/03/2025
Idioma:
Español
Se descubrió una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en el campo de dirección de destino de la herramienta NAT, que pueden ejecutarse cuando un usuario interactúa con dicho campo. El impacto de esta vulnerabilidad incluye el posible robo de cookies de usuario, acceso no autorizado a cuentas de usuario y redirección a sitios web maliciosos. El problema se ha corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10724)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2, específicamente en la sección de traducciones NAT de subred al editar la dirección de destino. Esta vulnerabilidad permite a un atacante ejecutar código malicioso. El problema se ha corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10725)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en la aplicación, que se ejecutan en el contexto de otros usuarios que visitan las páginas afectadas. El problema se produce al editar la dirección de destino NAT, donde la entrada del usuario no se depura correctamente. Esto puede provocar el robo de datos, la vulneración de cuentas y otras actividades maliciosas. La vulnerabilidad está corregida en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10727)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en phpipam/phpipam, versiones 1.5.0 a 1.6.0. Esta vulnerabilidad surge cuando la aplicación recibe datos en una solicitud HTTP y los incluye en la respuesta inmediata de forma insegura. Esto permite a un atacante ejecutar JavaScript arbitrario en el contexto del navegador del usuario, lo que podría comprometer su seguridad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/04/2025

Vulnerabilidad en lunary-ai/lunary (CVE-2024-10762)

Fecha de publicación:
20/03/2025
Idioma:
Español
En lunary-ai/lunary, versiones anteriores a la 1.5.9, el endpoint /v1/evaluators/ permite a los usuarios eliminar evaluadores de un proyecto mediante una solicitud DELETE. Sin embargo, la ruta carece de un control de acceso adecuado, como middleware, para garantizar que solo los usuarios con los roles adecuados puedan eliminar los datos de los evaluadores. Esta vulnerabilidad permite a usuarios con pocos privilegios eliminar los datos de los evaluadores, lo que provoca una pérdida permanente de datos y podría dificultar las operaciones.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/07/2025

Vulnerabilidad en binary-husky/gpt_academic (CVE-2024-10812)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de redirección abierta en binary-husky/gpt_academic versión 3.83. Esta vulnerabilidad ocurre cuando un usuario es redirigido a una URL especificada por el usuario en el parámetro 'file' sin la validación ni la depuración adecuada. Los atacantes pueden aprovechar esta vulnerabilidad para realizar ataques de phishing, distribuir malware y robar credenciales de usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/07/2025

Vulnerabilidad en Gradio Audio de gradio-app/gradio (CVE-2024-10648)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de path traversal en el componente Gradio Audio de gradio-app/gradio, a partir de la versión git 98cbcae. Esta vulnerabilidad permite a un atacante controlar el formato del archivo de audio, lo que provoca la eliminación arbitraria de contenido. Al manipular el formato de salida, un atacante puede restablecer cualquier archivo a un archivo vacío, provocando una denegación de servicio (DOS) en el servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/10/2025

Vulnerabilidad en ChuanhuChatGPT (CVE-2024-10650)

Fecha de publicación:
20/03/2025
Idioma:
Español
Se identificó una vulnerabilidad de denegación de servicio (DoS) no autenticada en ChuanhuChatGPT versión 20240918, que podría explotarse enviando grandes cargas de datos mediante un límite multiparte. Aunque se aplicó un parche para CVE-2024-7807, el problema aún puede explotarse enviando datos en grupos de 10 caracteres por línea, con varias líneas. Esto puede provocar que el sistema procese estos caracteres continuamente, lo que resulta en una indisponibilidad prolongada del servicio. Esta vulnerabilidad ahora requiere privilegios bajos si la autenticación está habilitada debido a una actualización de versión de Gradio.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025