Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en lunary-ai/lunary (CVE-2024-10762)
Fecha de publicación:
20/03/2025
Idioma:
Español
En lunary-ai/lunary, versiones anteriores a la 1.5.9, el endpoint /v1/evaluators/ permite a los usuarios eliminar evaluadores de un proyecto mediante una solicitud DELETE. Sin embargo, la ruta carece de un control de acceso adecuado, como middleware, para garantizar que solo los usuarios con los roles adecuados puedan eliminar los datos de los evaluadores. Esta vulnerabilidad permite a usuarios con pocos privilegios eliminar los datos de los evaluadores, lo que provoca una pérdida permanente de datos y podría dificultar las operaciones.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/07/2025

Vulnerabilidad en binary-husky/gpt_academic (CVE-2024-10812)
Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de redirección abierta en binary-husky/gpt_academic versión 3.83. Esta vulnerabilidad ocurre cuando un usuario es redirigido a una URL especificada por el usuario en el parámetro 'file' sin la validación ni la depuración adecuada. Los atacantes pueden aprovechar esta vulnerabilidad para realizar ataques de phishing, distribuir malware y robar credenciales de usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/07/2025

Vulnerabilidad en Gradio Audio de gradio-app/gradio (CVE-2024-10648)
Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de path traversal en el componente Gradio Audio de gradio-app/gradio, a partir de la versión git 98cbcae. Esta vulnerabilidad permite a un atacante controlar el formato del archivo de audio, lo que provoca la eliminación arbitraria de contenido. Al manipular el formato de salida, un atacante puede restablecer cualquier archivo a un archivo vacío, provocando una denegación de servicio (DOS) en el servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/10/2025

Vulnerabilidad en ChuanhuChatGPT (CVE-2024-10650)
Fecha de publicación:
20/03/2025
Idioma:
Español
Se identificó una vulnerabilidad de denegación de servicio (DoS) no autenticada en ChuanhuChatGPT versión 20240918, que podría explotarse enviando grandes cargas de datos mediante un límite multiparte. Aunque se aplicó un parche para CVE-2024-7807, el problema aún puede explotarse enviando datos en grupos de 10 caracteres por línea, con varias líneas. Esto puede provocar que el sistema procese estos caracteres continuamente, lo que resulta en una indisponibilidad prolongada del servicio. Esta vulnerabilidad ahora requiere privilegios bajos si la autenticación está habilitada debido a una actualización de versión de Gradio.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-10707)
Fecha de publicación:
20/03/2025
Idioma:
Español
La versión git d4ec6a3 de gaizhenbiao/chuanhuchatgpt se ve afectada por una vulnerabilidad de inclusión de archivos locales debido al uso del componente gr.JSON de gradio, que presenta un problema conocido (CVE-2024-4941). Esta vulnerabilidad permite a usuarios no autenticados acceder a archivos arbitrarios en el servidor subiendo un archivo JSON especialmente manipulado y aprovechando la validación de entrada incorrecta en la función handle_dataset_selection.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/10/2025

Vulnerabilidad en szad670401/hyperlpr v3.0 (CVE-2024-10713)
Fecha de publicación:
20/03/2025
Idioma:
Español
Una vulnerabilidad en szad670401/hyperlpr v3.0 permite un ataque de denegación de servicio (DoS). El servidor no gestiona el exceso de caracteres añadidos al final de los límites multiparte, independientemente del carácter utilizado. Esta falla puede explotarse enviando solicitudes multiparte malformadas con caracteres arbitrarios al final del límite, lo que provoca un consumo excesivo de recursos y una denegación de servicio completa para todos los usuarios. La vulnerabilidad no está autenticada, lo que significa que un atacante no requiere que el usuario inicie sesión ni interactúe con él.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en binary-husky/gpt_academic (CVE-2024-10714)
Fecha de publicación:
20/03/2025
Idioma:
Español
Una vulnerabilidad en binary-husky/gpt_academic versión 3.83 permite a un atacante provocar una denegación de servicio (DoS) añadiendo caracteres excesivos al final de un límite multiparte durante la carga de un archivo. Esto provoca que el servidor procese continuamente cada carácter y muestre advertencias, lo que hace que la aplicación sea inaccesible. El problema ocurre cuando la terminal muestra la advertencia: «multipart.multipart Consuming a byte '0x2d' in end state».
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10718)
Fecha de publicación:
20/03/2025
Idioma:
Español
En la versión 1.5.1 de phpipam/phpipam, el atributo "Secure" para cookies sensibles en sesiones HTTPS no está configurado. Esto podría provocar que el agente de usuario envíe dichas cookies en texto plano a través de una sesión HTTP, lo que podría exponer información sensible. El problema se solucionó en la versión 1.7.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/06/2025

Vulnerabilidad en phpipam (CVE-2024-10719)
Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en la versión 1.5.2 de phpipam, específicamente en la funcionalidad de opciones de circuitos. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos mediante el parámetro 'option' en la solicitud POST a /phpipam/app/admin/circuits/edit-options-submit.php. El script inyectado puede ejecutarse en el contexto del navegador del usuario, lo que puede provocar el robo de cookies y la divulgación de archivos del usuario final. El problema se ha corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10720)
Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2. La vulnerabilidad se produce en la sección "Administración de dispositivos", dentro de "Administración", donde un atacante puede inyectar scripts maliciosos en los campos "Nombre" y "Descripción" al añadir un nuevo tipo de dispositivo. Esto puede provocar robo de datos, vulneración de cuentas, distribución de malware, desfiguración de sitios web y ataques de phishing. El problema está corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en comfyanonymous/comfyui (CVE-2024-10481)
Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad CSRF en las versiones de comfyanonymous/comfyui hasta la v0.2.2. Esta vulnerabilidad permite a los atacantes alojar sitios web maliciosos que, al ser visitados por usuarios autenticados de ComfyUI, pueden realizar solicitudes arbitrarias a la API en nombre del usuario. Esto puede explotarse para realizar acciones como subir archivos arbitrarios a través del endpoint `/upload/image`. La falta de protección CSRF en endpoints de API como `/upload/image`, `/prompt` y `/history` deja a los usuarios vulnerables a acciones no autorizadas, que podrían combinarse con otras vulnerabilidades como el XSS almacenado para comprometer aún más las sesiones de usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
29/07/2025

Vulnerabilidad en mintplex-labs/anything-llm (CVE-2024-10513)
Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de path traversal en la función "Administrador de subida de documentos" de mintplex-labs/anything-llm, que afecta a las versiones anteriores a la 1.2.2. Esta vulnerabilidad permite a los usuarios con el rol de "administrador" acceder y manipular el archivo de base de datos "anythingllm.db". Al explotar el endpoint vulnerable "/api/document/move-files", un atacante puede mover el archivo de base de datos a un directorio de acceso público, descargarlo y posteriormente eliminarlo. Esto puede provocar acceso no autorizado a datos confidenciales, escalada de privilegios y posible pérdida de datos.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/07/2025
Suscribirse a Vulnerabilidades