Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en langgenius/dify v0.10.1 (CVE-2024-12776)

Fecha de publicación:

20/03/2025

Idioma:

Español

En langgenius/dify v0.10.1, el endpoint `/forgot-password/resets` no verifica el código de restablecimiento de contraseña, lo que permite a un atacante restablecer la contraseña de cualquier usuario, incluidos los administradores. Esta vulnerabilidad puede comprometer completamente la aplicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

14/07/2025

Vulnerabilidad en aimhubio/aim (CVE-2024-12777)

Fecha de publicación:

20/03/2025

Idioma:

Español

Una vulnerabilidad en aimhubio/aim versión 3.25.0 permite una denegación de servicio mediante el uso indebido de sshfs-client. El servidor de seguimiento, que es de un solo subproceso, puede dejar de responder al solicitarle que se conecte a un socket que no responde mediante sshfs. La falta de una configuración de tiempo de espera adicional en sshfs-client provoca que el servidor se cuelgue durante un tiempo considerable, impidiéndole responder a otras solicitudes.

Gravedad CVSS v3.1: MEDIA

Última modificación:

18/07/2025

Vulnerabilidad en aimhubio/aim (CVE-2024-12778)

Fecha de publicación:

20/03/2025

Idioma:

Español

Una vulnerabilidad en aimhubio/aim versión 3.25.0 permite un ataque de denegación de servicio (DoS). El problema surge cuando se recupera simultáneamente un gran número de métricas rastreadas desde la API web de Aim, lo que provoca que el servidor web deje de responder. La causa principal es la falta de un límite en el número de métricas que se pueden solicitar por llamada, junto con la naturaleza monohilo del servidor, lo que provoca un consumo excesivo de recursos y su bloqueo.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/10/2025

Vulnerabilidad en infiniflow/ragflow (CVE-2024-12779)

Fecha de publicación:

20/03/2025

Idioma:

Español

Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en infiniflow/ragflow versión 0.12.0. La vulnerabilidad está presente en los endpoints `POST /v1/llm/add_llm` y `POST /v1/conversation/tts`. Los atacantes pueden especificar una URL arbitraria como `api_base` al agregar un modelo `OPENAITTS` y, posteriormente, acceder al endpoint de la API REST `tts` para leer el contenido de la URL especificada. Esto puede provocar acceso no autorizado a recursos web internos.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/04/2025

Vulnerabilidad en netease-youdao/qanything (CVE-2024-12864)

Fecha de publicación:

20/03/2025

Idioma:

Español

Se descubrió una vulnerabilidad de denegación de servicio (DoS) en la función de carga de archivos de netease-youdao/qanything versión v2.0.0. La vulnerabilidad se debe a la gestión incorrecta de datos de formulario con un nombre de archivo grande en la solicitud de carga de archivos. Un atacante puede explotar esta vulnerabilidad enviando un nombre de archivo grande, lo que provoca la saturación del servidor y lo inhabilita para usuarios legítimos. Este ataque no requiere autenticación, lo que lo hace altamente escalable y aumenta el riesgo de explotación.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/08/2025

Vulnerabilidad en netease-youdao/qanything (CVE-2024-12866)

Fecha de publicación:

20/03/2025

Idioma:

Español

Existe una vulnerabilidad de inclusión de archivos locales en la versión v2.0.0 de netease-youdao/qanything. Esta vulnerabilidad permite a un atacante leer archivos arbitrarios en el sistema de archivos, lo que puede provocar la ejecución remota de código mediante la recuperación de claves SSH privadas y la lectura de archivos privados, código fuente y archivos de configuración.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/08/2025

Vulnerabilidad en open-webui (CVE-2024-12868)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión 0.3.32 de open-webui, la aplicación utiliza una versión vulnerable del paquete Starlette debido a su dependencia de FastAPI. Las versiones del paquete Starlette anteriores a la 0.49 son susceptibles a un consumo incontrolado de recursos, lo que puede explotarse para causar una denegación de servicio por agotamiento de memoria. Este problema se soluciona en la versión 0.115.3 de FastAPI.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2025

Vulnerabilidad en open-webui/open-webui (CVE-2024-12534)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión v0.3.32 de open-webui/open-webui, la aplicación permite a los usuarios enviar payloads de gran tamaño en los campos de correo electrónico y contraseña durante el inicio de sesión debido a la falta de validación de la longitud de caracteres en estas entradas. Esta vulnerabilidad puede provocar una denegación de servicio (DoS) cuando un usuario envía cadenas excesivamente largas, agotando recursos del servidor como CPU, memoria y espacio en disco, e inhabilitando el servicio para usuarios legítimos. Esto hace que el servidor sea susceptible a ataques de agotamiento de recursos sin necesidad de autenticación.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/07/2025

Vulnerabilidad en open-webui/open-webui (CVE-2024-12537)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión 0.3.32 de open-webui/open-webui, la ausencia de mecanismos de autenticación permite a cualquier atacante no autenticado acceder al endpoint `api/v1/utils/code/format`. Si un atacante envía una solicitud POST con un volumen excesivo de contenido, el servidor podría dejar de responder por completo. Esto podría provocar graves problemas de rendimiento, provocando que el servidor deje de responder o experimente una degradación significativa, lo que a su vez provocaría interrupciones del servicio para los usuarios legítimos.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/04/2025

Vulnerabilidad en danny-avila/librechat (CVE-2024-12580)

Fecha de publicación:

20/03/2025

Idioma:

Español

Una vulnerabilidad en danny-avila/librechat anterior a la versión 0.7.6 permite la inyección de registros de depuración. Los parámetros sessionId, fileId, userId y file_id de las API /code/download/:sessionId/:fileId y /download/:userId/:file_id no están validados ni filtrados, lo que puede provocar ataques de inyección de registros. Esto puede distorsionar la información de monitorización e investigación, evadir la detección de los sistemas de seguridad y dificultar el mantenimiento y la operación.

Gravedad CVSS v3.1: MEDIA

Última modificación:

14/07/2025

Vulnerabilidad en LangChainLLM (CVE-2024-12704)

Fecha de publicación:

20/03/2025

Idioma:

Español

Una vulnerabilidad en la clase LangChainLLM del repositorio run-llama/llama_index, versión v0.12.5, permite un ataque de denegación de servicio (DoS). El método stream_complete ejecuta el llm mediante un hilo y recupera el resultado mediante el método get_response_gen de la clase StreamingGeneratorCallbackHandler. Si el hilo termina de forma anómala antes de ejecutar _llm.predict, no se gestionan excepciones, lo que genera un bucle infinito en la función get_response_gen. Esto puede activarse al proporcionar una entrada de un tipo incorrecto, lo que provoca la finalización del hilo y la ejecución indefinida del proceso.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/10/2025

Vulnerabilidad en huggingface/transformers (CVE-2024-12720)

Fecha de publicación:

20/03/2025

Idioma:

Español

Se identificó una vulnerabilidad de denegación de servicio por expresión regular (ReDoS) en la librería huggingface/transformers, concretamente en el archivo tokenization_nougat_fast.py. La vulnerabilidad se produce en la función post_process_single(), donde una expresión regular procesa una entrada especialmente manipulada. El problema se debe a que la expresión regular presenta una complejidad temporal exponencial en determinadas condiciones, lo que provoca un retroceso excesivo. Esto puede resultar en un uso de CPU significativamente alto y un posible tiempo de inactividad de la aplicación, creando así un escenario de denegación de servicio (DoS). La versión afectada es la v4.46.3 (última versión).

Gravedad CVSS v3.1: ALTA

Última modificación:

01/08/2025

Suscribirse a Vulnerabilidades