Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en phpipam/phpipam (CVE-2024-10724)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2, específicamente en la sección de traducciones NAT de subred al editar la dirección de destino. Esta vulnerabilidad permite a un atacante ejecutar código malicioso. El problema se ha corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10725)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos en la aplicación, que se ejecutan en el contexto de otros usuarios que visitan las páginas afectadas. El problema se produce al editar la dirección de destino NAT, donde la entrada del usuario no se depura correctamente. Esto puede provocar el robo de datos, la vulneración de cuentas y otras actividades maliciosas. La vulnerabilidad está corregida en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10727)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) reflejado en phpipam/phpipam, versiones 1.5.0 a 1.6.0. Esta vulnerabilidad surge cuando la aplicación recibe datos en una solicitud HTTP y los incluye en la respuesta inmediata de forma insegura. Esto permite a un atacante ejecutar JavaScript arbitrario en el contexto del navegador del usuario, lo que podría comprometer su seguridad.
Gravedad CVSS v3.1: MEDIA
Última modificación:
01/04/2025

Vulnerabilidad en lunary-ai/lunary (CVE-2024-10762)

Fecha de publicación:
20/03/2025
Idioma:
Español
En lunary-ai/lunary, versiones anteriores a la 1.5.9, el endpoint /v1/evaluators/ permite a los usuarios eliminar evaluadores de un proyecto mediante una solicitud DELETE. Sin embargo, la ruta carece de un control de acceso adecuado, como middleware, para garantizar que solo los usuarios con los roles adecuados puedan eliminar los datos de los evaluadores. Esta vulnerabilidad permite a usuarios con pocos privilegios eliminar los datos de los evaluadores, lo que provoca una pérdida permanente de datos y podría dificultar las operaciones.
Gravedad CVSS v3.1: ALTA
Última modificación:
02/07/2025

Vulnerabilidad en binary-husky/gpt_academic (CVE-2024-10812)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de redirección abierta en binary-husky/gpt_academic versión 3.83. Esta vulnerabilidad ocurre cuando un usuario es redirigido a una URL especificada por el usuario en el parámetro 'file' sin la validación ni la depuración adecuada. Los atacantes pueden aprovechar esta vulnerabilidad para realizar ataques de phishing, distribuir malware y robar credenciales de usuario.
Gravedad CVSS v3.1: MEDIA
Última modificación:
14/07/2025

Vulnerabilidad en Gradio Audio de gradio-app/gradio (CVE-2024-10648)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de path traversal en el componente Gradio Audio de gradio-app/gradio, a partir de la versión git 98cbcae. Esta vulnerabilidad permite a un atacante controlar el formato del archivo de audio, lo que provoca la eliminación arbitraria de contenido. Al manipular el formato de salida, un atacante puede restablecer cualquier archivo a un archivo vacío, provocando una denegación de servicio (DOS) en el servidor.
Gravedad CVSS v3.1: ALTA
Última modificación:
14/10/2025

Vulnerabilidad en ChuanhuChatGPT (CVE-2024-10650)

Fecha de publicación:
20/03/2025
Idioma:
Español
Se identificó una vulnerabilidad de denegación de servicio (DoS) no autenticada en ChuanhuChatGPT versión 20240918, que podría explotarse enviando grandes cargas de datos mediante un límite multiparte. Aunque se aplicó un parche para CVE-2024-7807, el problema aún puede explotarse enviando datos en grupos de 10 caracteres por línea, con varias líneas. Esto puede provocar que el sistema procese estos caracteres continuamente, lo que resulta en una indisponibilidad prolongada del servicio. Esta vulnerabilidad ahora requiere privilegios bajos si la autenticación está habilitada debido a una actualización de versión de Gradio.
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-10707)

Fecha de publicación:
20/03/2025
Idioma:
Español
La versión git d4ec6a3 de gaizhenbiao/chuanhuchatgpt se ve afectada por una vulnerabilidad de inclusión de archivos locales debido al uso del componente gr.JSON de gradio, que presenta un problema conocido (CVE-2024-4941). Esta vulnerabilidad permite a usuarios no autenticados acceder a archivos arbitrarios en el servidor subiendo un archivo JSON especialmente manipulado y aprovechando la validación de entrada incorrecta en la función handle_dataset_selection.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/10/2025

Vulnerabilidad en binary-husky/gpt_academic (CVE-2024-10714)

Fecha de publicación:
20/03/2025
Idioma:
Español
Una vulnerabilidad en binary-husky/gpt_academic versión 3.83 permite a un atacante provocar una denegación de servicio (DoS) añadiendo caracteres excesivos al final de un límite multiparte durante la carga de un archivo. Esto provoca que el servidor procese continuamente cada carácter y muestre advertencias, lo que hace que la aplicación sea inaccesible. El problema ocurre cuando la terminal muestra la advertencia: «multipart.multipart Consuming a byte '0x2d' in end state».
Gravedad CVSS v3.1: ALTA
Última modificación:
15/10/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10718)

Fecha de publicación:
20/03/2025
Idioma:
Español
En la versión 1.5.1 de phpipam/phpipam, el atributo "Secure" para cookies sensibles en sesiones HTTPS no está configurado. Esto podría provocar que el agente de usuario envíe dichas cookies en texto plano a través de una sesión HTTP, lo que podría exponer información sensible. El problema se solucionó en la versión 1.7.0.
Gravedad CVSS v3.1: ALTA
Última modificación:
27/06/2025

Vulnerabilidad en phpipam (CVE-2024-10719)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en la versión 1.5.2 de phpipam, específicamente en la funcionalidad de opciones de circuitos. Esta vulnerabilidad permite a un atacante inyectar scripts maliciosos mediante el parámetro 'option' en la solicitud POST a /phpipam/app/admin/circuits/edit-options-submit.php. El script inyectado puede ejecutarse en el contexto del navegador del usuario, lo que puede provocar el robo de cookies y la divulgación de archivos del usuario final. El problema se ha corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025

Vulnerabilidad en phpipam/phpipam (CVE-2024-10720)

Fecha de publicación:
20/03/2025
Idioma:
Español
Existe una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en phpipam/phpipam versión 1.5.2. La vulnerabilidad se produce en la sección "Administración de dispositivos", dentro de "Administración", donde un atacante puede inyectar scripts maliciosos en los campos "Nombre" y "Descripción" al añadir un nuevo tipo de dispositivo. Esto puede provocar robo de datos, vulneración de cuentas, distribución de malware, desfiguración de sitios web y ataques de phishing. El problema está corregido en la versión 1.7.0.
Gravedad CVSS v3.1: MEDIA
Última modificación:
28/05/2025