Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Lollms 9.9 (CVE-2024-6581)

Fecha de publicación:
29/10/2024
Idioma:
Español
Una vulnerabilidad en la función de carga de imágenes de discusión de la aplicación Lollms, versión v9.9, permite la carga de archivos SVG. Debido a un filtrado incompleto en la función sanitize_svg, esto puede generar vulnerabilidades de Cross Site Scripting (XSS), que a su vez plantean un riesgo de ejecución remota de código. La función sanitize_svg solo elimina elementos de scripts y atributos de evento 'on*', pero no tiene en cuenta otros vectores potenciales de XSS dentro de los archivos SVG. Esta vulnerabilidad se puede explotar cuando los usuarios autorizados acceden a una URL maliciosa que contiene el archivo SVG creado.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
01/11/2024

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-5982)

Fecha de publicación:
29/10/2024
Idioma:
Español
Existe una vulnerabilidad de path traversal en la última versión de gaizhenbiao/chuanhuchatgpt. La vulnerabilidad surge del manejo de entrada no desinfectado en múltiples funciones, incluyendo la carga de usuarios, la creación de directorios y la carga de plantillas. Específicamente, la función load_chat_history en modules/models/base_model.py permite cargas de archivos arbitrarias, lo que puede llevar a la ejecución de código remoto (RCE). La función get_history_names en utils.py permite la creación de directorios arbitrarios. Además, la función load_template en utils.py puede ser explotada para filtrar la primera columna de archivos CSV. Estos problemas surgen de la sanitización incorrecta de las entradas de usuario concatenadas con rutas de directorio usando os.path.join.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
14/11/2024

Vulnerabilidad en Monitor.Chat (CVE-2024-49639)

Fecha de publicación:
29/10/2024
Idioma:
Español
Vulnerabilidad de neutralización inadecuada de entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Edward Stoever Monitor.Chat permite XSS reflejado. Este problema afecta a Monitor.Chat: desde n/a hasta 1.1.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en ACL Floating Cart para WooCommerce (CVE-2024-49640)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en AmaderCode Lab ACL Floating Cart para WooCommerce permite XSS reflejado. Este problema afecta a ACL Floating Cart para WooCommerce: desde n/a hasta 0.9.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Tida URL Screenshot (CVE-2024-49641)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Tidaweb Tida URL Screenshot permite XSS reflejado. Este problema afecta a Tida URL Screenshot: desde n/a hasta 1.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Whitelist (CVE-2024-49643)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Abdullah Irfan Whitelist permite XSS reflejado. Este problema afecta a Whitelist: desde n/a hasta 3.5.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Affiliate Platform (CVE-2024-49645)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Ilias Gomatos Affiliate Platform permite XSS reflejado. Este problema afecta a Affiliate Platform: desde n/a hasta 1.4.8.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Banner Slider (CVE-2024-49635)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Manzurul Haque Banner Slider permite XSS reflejado. Este problema afecta a Banner Slider: desde n/a hasta 2.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Agile Video Player Lite (CVE-2024-49636)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Prashant Mavinkurve Agile Video Player Lite permite XSS reflejado. Este problema afecta a Agile Video Player Lite: desde n/a hasta 1.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Bet WC 2018 Rusia (CVE-2024-49637)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Foxskav Bet WC 2018 Rusia permite XSS reflejado. Este problema afecta a Bet WC 2018 Rusia: desde n/a hasta 2.1.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Risk Warning Bar (CVE-2024-49638)

Fecha de publicación:
29/10/2024
Idioma:
Español
La vulnerabilidad de neutralización incorrecta de la entrada durante la generación de páginas web (XSS o 'Cross-site Scripting') en Ali Azlan Risk Warning Bar permite XSS reflejado. Este problema afecta a Risk Warning Bar: desde n/a hasta 1.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/04/2026

Vulnerabilidad en Edge Computing TRO600 (CVE-2024-41153)

Fecha de publicación:
29/10/2024
Idioma:
Español
Vulnerabilidad de inyección de comandos en la interfaz de usuario de Edge Computing para las radios de la serie TRO600 que permite la ejecución de comandos arbitrarios del sistema. Si se explota, un atacante con acceso de escritura a la interfaz de usuario web puede ejecutar comandos en el dispositivo con privilegios de root, mucho más amplios que los que pretende el privilegio de escritura.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/10/2025