Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en luci-app-lucky v2.8.3 (CVE-2024-39208)

Fecha de publicación:
27/06/2024
Idioma:
Español
Se descubrió que luci-app-lucky v2.8.3 contenía credenciales codificadas.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/07/2024

Vulnerabilidad en DESIGNA ABACUS v.18 (CVE-2024-31802)

Fecha de publicación:
27/06/2024
Idioma:
Español
DESIGNA ABACUS v.18 y anteriores permiten a un atacante eludir el proceso de pago mediante un código QR manipulado.
Gravedad CVSS v3.1: MEDIA
Última modificación:
18/11/2024

Vulnerabilidad en parisneo/lollms (CVE-2024-6139)

Fecha de publicación:
27/06/2024
Idioma:
Español
Existe una vulnerabilidad de path traversal en el servidor XTTS del paquete parisneo/lollms versión v9.6. Esta vulnerabilidad permite a un atacante escribir archivos de audio en ubicaciones arbitrarias del sistema y enumerar rutas de archivos. El problema surge de una validación inadecuada de las rutas de archivo proporcionadas por el usuario en el endpoint `tts_to_file`.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/06/2024

Vulnerabilidad en parisneo/lollms-webui v9.6 (CVE-2024-6250)

Fecha de publicación:
27/06/2024
Idioma:
Español
Existe una vulnerabilidad de path traversal absoluta en parisneo/lollms-webui v9.6, específicamente en el endpoint `open_file` de `lollms_advanced.py`. La función `sanitize_path` con `allow_absolute_path=True` permite a un atacante acceder a archivos y directorios arbitrarios en un sistema Windows. Esta vulnerabilidad se puede aprovechar para leer cualquier archivo y enumerar directorios arbitrarios en el sistema afectado.
Gravedad CVSS v3.1: ALTA
Última modificación:
09/07/2025

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-6038)

Fecha de publicación:
27/06/2024
Idioma:
Español
Existe una vulnerabilidad de denegación de servicio de expresión regular (ReDoS) en la última versión de gaizhenbiao/chuanhuchatgpt. La vulnerabilidad se encuentra en la función filter_history dentro del módulo utils.py. Esta función toma una palabra clave proporcionada por el usuario e intenta compararla con los nombres de archivos del historial de chat mediante una búsqueda de expresión regular. Debido a la falta de sanitización o validación del parámetro de palabra clave, un atacante puede inyectar una expresión regular especialmente manipulada, lo que lleva a una condición de denegación de servicio. Esto puede provocar una degradación grave del rendimiento del servicio y una posible indisponibilidad del sistema.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en lollms (CVE-2024-6085)

Fecha de publicación:
27/06/2024
Idioma:
Español
Existe una vulnerabilidad de path traversal en el servidor XTTS incluido en el paquete lollms, versión v9.6. Esta vulnerabilidad surge de la capacidad de realizar un cambio en la configuración de la carpeta raíz sin autenticar. Aunque el endpoint de lectura del archivo está protegido contra path traversals, esta protección se puede omitir cambiando la carpeta raíz a '/'. Esto permite a los atacantes leer archivos arbitrarios en el sistema. Además, las carpetas de salida se pueden cambiar para escribir archivos de audio arbitrarios en cualquier ubicación del sistema.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/06/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-6086)

Fecha de publicación:
27/06/2024
Idioma:
Español
En la versión 1.2.7 de lunary-ai/lunary, cualquier usuario autenticado, independientemente de su rol, puede cambiar el nombre de una organización debido a un control de acceso inadecuado. La función checkAccess() no está implementada, lo que permite a los usuarios con los privilegios más bajos, como la función 'Editor de mensajes', modificar los atributos de la organización sin la autorización adecuada.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/10/2025

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-6090)

Fecha de publicación:
27/06/2024
Idioma:
Español
Existe una vulnerabilidad de path traversal en gaizhenbiao/chuanhuchatgpt versión 20240410, que permite a cualquier usuario eliminar los historiales de chat de otros usuarios. Esta vulnerabilidad también se puede aprovechar para eliminar cualquier archivo que termine en ".json" en el sistema de destino, lo que provoca una denegación de servicio ya que los usuarios no pueden autenticarse.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en imartinez/privategpt (CVE-2024-5935)

Fecha de publicación:
27/06/2024
Idioma:
Español
Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en la versión 0.5.0 de imartinez/privategpt permite a un atacante eliminar todos los archivos cargados en el servidor. Esto puede provocar la pérdida de datos y la interrupción del servicio para los usuarios de la aplicación.
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/05/2025

Vulnerabilidad en imartinez/privategpt (CVE-2024-5936)

Fecha de publicación:
27/06/2024
Idioma:
Español
Existe una vulnerabilidad de redireccionamiento abierto en imartinez/privategpt versión 0.5.0 debido al manejo inadecuado del parámetro 'archivo'. Esta vulnerabilidad permite a los atacantes redirigir a los usuarios a una URL especificada mediante una entrada controlada por el usuario sin una validación o sanitización adecuada. El impacto de esta vulnerabilidad incluye posibles ataques de phishing, distribución de malware y robo de credenciales.
Gravedad CVSS v3.1: MEDIA
Última modificación:
17/07/2025

Vulnerabilidad en h2oai/h2o-3 (CVE-2024-5979)

Fecha de publicación:
27/06/2024
Idioma:
Español
En h2oai/h2o-3 versión 3.46.0, el comando `run_tool` en el componente `rapids` permite llamar a la función `main` de cualquier clase bajo el espacio de nombres `water.tools`. Una de esas clases, `MojoConvertTool`, bloquea el servidor cuando se invoca con un argumento no válido, provocando una denegación de servicio.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en lightning-ai/pytorch-lightning v2.2.4 (CVE-2024-5980)

Fecha de publicación:
27/06/2024
Idioma:
Español
Una vulnerabilidad en el endpoint API /v1/runs de lightning-ai/pytorch-lightning v2.2.4 permite a los atacantes explotar el path traversal al extraer archivos tar.gz. Cuando LightningApp se ejecuta con plugin_server, los atacantes pueden implementar complementos tar.gz maliciosos que incrustan archivos arbitrarios con vulnerabilidades de path traversal. Esto puede provocar que se escriban archivos arbitrarios en cualquier directorio del sistema de archivos local de la víctima, lo que podría provocar la ejecución remota de código.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
15/10/2025