Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en aimhubio/aim (CVE-2024-7760)

Fecha de publicación:

20/03/2025

Idioma:

Español

La versión 3.22.0 de aimhubio/aim contiene una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el servidor de seguimiento. Esta vulnerabilidad se debe a una configuración CORS excesivamente permisiva, que permite solicitudes de origen cruzado desde cualquier origen. Esto posibilita ataques CSRF en todos los endpoints del servidor de seguimiento, lo que puede combinarse con otras vulnerabilidades existentes, como la ejecución remota de código, la denegación de servicio y la lectura y escritura arbitraria de archivos.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

21/07/2025

Vulnerabilidad en h2oai/h2o-3 (CVE-2024-7765)

Fecha de publicación:

20/03/2025

Idioma:

Español

En h2oai/h2o-3 versión 3.46.0.2, existe una vulnerabilidad que provoca una denegación de servicio al cargar y analizar repetidamente un archivo GZIP de gran tamaño. El servidor deja de responder debido al agotamiento de la memoria y a un gran número de trabajos simultáneos de ejecución lenta. Este problema se debe a la gestión inadecuada de datos altamente comprimidos, lo que provoca una amplificación significativa de los datos.

Gravedad CVSS v3.1: ALTA

Última modificación:

01/04/2025

Vulnerabilidad en Vanna-ai v0.6.2 (CVE-2024-7764)

Fecha de publicación:

20/03/2025

Idioma:

Español

Vanna-ai v0.6.2 es vulnerable a la inyección de SQL debido a la protección insuficiente contra la inyección de comandos SQL adicionales provenientes de las solicitudes de usuario. La vulnerabilidad se produce cuando la función `generate_sql` llama a `extract_sql` con la respuesta LLM. Un atacante puede incluir un punto y coma entre un campo de datos de búsqueda y su propio comando, lo que provoca que la función `extract_sql` elimine todo el SQL generado por LLM y ejecute el comando del atacante si este pasa la función `is_sql_valid`. Esto permite la ejecución de SQL definido por el usuario más allá de los límites previstos, en particular del esquema entrenado.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/04/2026

Vulnerabilidad en open-webui (CVE-2024-7034)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión 0.3.8 de open-webui, el endpoint `/models/upload` es vulnerable a la escritura arbitraria de archivos debido a la gestión inadecuado de los nombres de archivo proporcionados por el usuario. La vulnerabilidad surge del uso de `file_path = f"{UPLOAD_DIR}/{file.filename}"` sin la validación ni la depuración adecuada de la entrada. Un atacante puede explotar esto manipulando el parámetro `file.filename` para incluir secuencias de navegación de directorio, lo que provoca que el `file_path` resultante escape del `UPLOAD_DIR` previsto y, potencialmente, sobrescriba archivos arbitrarios en el sistema. Esto puede provocar modificaciones no autorizadas de binarios del sistema, archivos de configuración o datos confidenciales, lo que podría permitir la ejecución remota de comandos.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025

Vulnerabilidad en open-webui/open-webui (CVE-2024-7035)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión v0.3.8 de open-webui/open-webui, acciones sensibles como eliminar y restablecer se realizan mediante el método GET. Esta vulnerabilidad permite a un atacante realizar ataques de Cross-Site Request Forgery (CSRF), donde un usuario desprevenido puede realizar acciones sensibles sin querer simplemente visitando un sitio malicioso o a través de la navegación de nivel superior. Los endpoints afectados incluyen /rag/api/v1/reset, /rag/api/v1/reset/db, /api/v1/memories/reset y /rag/api/v1/reset/uploads. Esto afecta tanto la disponibilidad como la integridad de la aplicación.

Gravedad CVSS v3.1: MEDIA

Última modificación:

29/07/2025

Vulnerabilidad en open-webui/open-webui v0.3.8 (CVE-2024-7036)

Fecha de publicación:

20/03/2025

Idioma:

Español

Una vulnerabilidad en open-webui/open-webui v0.3.8 permite a un atacante no autenticado registrarse con un texto excesivamente grande en el campo "nombre", lo que provoca que el panel de administración deje de responder. Esto impide a los administradores realizar acciones esenciales de gestión de usuarios, como eliminar, editar o añadir usuarios. Esta vulnerabilidad también puede ser explotada por usuarios autenticados con privilegios bajos, lo que provoca el mismo estado de inactividad en el panel de administración.

Gravedad CVSS v3.1: ALTA

Última modificación:

18/07/2025

Vulnerabilidad en open-webui/open-webui (CVE-2024-7039)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión v0.3.8 de open-webui/open-webui, existe una vulnerabilidad de gestión de privilegios incorrecta. La aplicación permite a un atacante, actuando como administrador, eliminar a otros administradores mediante el endpoint de la API `http://0.0.0.0:8080/api/v1/users/{uuid_administrator}`. Esta acción está restringida por la interfaz de usuario, pero puede realizarse mediante llamadas directas a la API.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/10/2025

Vulnerabilidad en open-webui/open-webui (CVE-2024-7040)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión v0.3.8 de open-webui/open-webui, existe una vulnerabilidad de control de acceso indebido. En la página de administración del frontend, los administradores solo pueden ver los chats de miembros no administradores. Sin embargo, modificando el parámetro user_id, es posible ver los chats de cualquier administrador, incluidos los de otras cuentas de administrador (propietario).

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/10/2025

Vulnerabilidad en open-webui/open-webui v0.3.8 (CVE-2024-7043)

Fecha de publicación:

20/03/2025

Idioma:

Español

Una vulnerabilidad de control de acceso indebido en open-webui/open-webui v0.3.8 permite a los atacantes ver y eliminar cualquier archivo. La aplicación no verifica si el atacante es administrador, lo que le permite llamar directamente a la interfaz GET /api/v1/files/ para obtener información sobre todos los archivos subidos por los usuarios, incluyendo los valores de ID. El atacante puede usar la interfaz GET /api/v1/files/{file_id} para obtener información sobre cualquier archivo y la interfaz DELETE /api/v1/files/{file_id} para eliminar cualquier archivo.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/10/2025

Vulnerabilidad en open-webui/open-webui (CVE-2024-7044)

Fecha de publicación:

20/03/2025

Idioma:

Español

Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en la función de subida de archivos de chat de open-webui/open-webui versión 0.3.8. Un atacante puede inyectar contenido malicioso en un archivo que, al acceder a él a través de una URL o un chat compartido, ejecuta JavaScript en su navegador. Esto puede provocar el robo de datos del usuario, el secuestro de sesiones, la distribución de malware y ataques de phishing.

Gravedad CVSS v3.1: ALTA

Última modificación:

29/07/2025

Vulnerabilidad en open-webui/open-webui (CVE-2024-7045)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión v0.3.8 de open-webui/open-webui, vulnerabilidades de control de acceso indebido permiten a un atacante ver cualquier mensaje. La aplicación no verifica si el atacante es administrador, lo que le permite llamar directamente a la interfaz /api/v1/prompts/ para recuperar toda la información del mensaje creada por el administrador, incluyendo los valores de ID. Posteriormente, el atacante puede explotar la interfaz /api/v1/prompts/command/{command_id} para obtener información arbitraria del mensaje.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/10/2025

Vulnerabilidad en aimhubio/aim (CVE-2024-6851)

Fecha de publicación:

20/03/2025

Idioma:

Español

En la versión 3.22.0 de aimhubio/aim, la función LocalFileManager._cleanup del servidor de seguimiento de AIM acepta un patrón glob especificado por el usuario para eliminar archivos. Esta función no verifica que los archivos coincidentes se encuentren en el directorio administrado por LocalFileManager, lo que permite que un patrón glob manipulado con fines maliciosos provoque la eliminación arbitraria de archivos.

Gravedad CVSS v3.1: ALTA

Última modificación:

23/07/2025

Suscribirse a Vulnerabilidades