Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en berriai/litellm (CVE-2024-5225)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de inyección SQL en el repositorio berriai/litellm, específicamente dentro del endpoint `/global/spend/logs`. La vulnerabilidad surge debido a una neutralización inadecuada de elementos especiales utilizados en un comando SQL. El código afectado construye una consulta SQL concatenando un parámetro `api_key` no validado directamente en la consulta, lo que la hace susceptible a la inyección SQL si `api_key` contiene datos maliciosos. Este problema afecta a la última versión del repositorio. La explotación exitosa de esta vulnerabilidad podría provocar acceso no autorizado, manipulación de datos, exposición de información confidencial y denegación de servicio (DoS).

Gravedad CVSS v3.1: ALTA

Última modificación:

23/09/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5248)

Fecha de publicación:

06/06/2024

Idioma:

Español

En lunary-ai/lunary versión 1.2.5, existe una vulnerabilidad de control de acceso inadecuado debido a una falta de verificación de permiso en el endpoint `GET /v1/users/me/org`. Las definiciones de funciones de la plataforma restringen la función "Editor de mensajes" a la gestión de mensajes y las capacidades de visualización/enumeración de proyectos, excluyendo explícitamente el acceso a la información del usuario. Sin embargo, el endpoint no aplica esta restricción, lo que permite a los usuarios con la función "Editor de mensajes" acceder a la lista completa de usuarios de la organización. Esta vulnerabilidad permite el acceso no autorizado a información confidencial del usuario, violando los controles de acceso previstos.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5131)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de control de acceso inadecuado en el repositorio lunary-ai/lunary, que afecta a las versiones hasta la 1.2.2 incluida. La vulnerabilidad permite a usuarios no autorizados ver cualquier mensaje en cualquier proyecto al proporcionar un ID de mensaje específico a un endpoint que no verifica adecuadamente la propiedad del ID de mensaje. Este problema se solucionó en la versión 1.2.25.

Gravedad CVSS v3.1: MEDIA

Última modificación:

03/11/2024

CVE-2024-5132

Fecha de publicación:

06/06/2024

Idioma:

Español

En lunary-ai/lunary versión 1.2.2, un error de lógica empresarial permite a los usuarios eludir las limitaciones previstas en las invitaciones y adiciones de miembros del equipo, independientemente de su plan de suscripción. La vulnerabilidad surge debido a la falta de validación de los límites de miembros predefinidos en las constantes SEAT_ALLOWANCE durante los procesos de invitación y unión. Este problema permite a los usuarios de cualquier plan, incluido el plan gratuito, invitar y agregar a un equipo más miembros de los permitidos, eludiendo efectivamente el modelo de suscripción del sistema. La falla se encuentra en el manejo por parte del backend de las invitaciones y adiciones de usuarios, específicamente en los endpoints /api/v1/auth/index.ts y /api/v1/users.ts, donde el sistema no puede verificar el número actual de miembros del equipo. contra los límites permitidos antes de proceder con las operaciones de invitación y adición.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

07/06/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5133)

Fecha de publicación:

06/06/2024

Idioma:

Español

En lunary-ai/lunary versión 1.2.4, existe una vulnerabilidad de apropiación de cuenta debido a la exposición de tokens de recuperación de contraseña en las respuestas de API. Específicamente, cuando un usuario inicia el proceso de restablecimiento de contraseña, el token de recuperación se incluye en la respuesta del endpoint `GET /v1/users/me/org`, que enumera todos los usuarios de un equipo. Esto permite que cualquier usuario autenticado capture el token de recuperación de otro usuario y posteriormente cambie la contraseña de ese usuario sin consentimiento, asumiendo efectivamente el control de la cuenta. El problema radica en la inclusión del atributo `recovery_token` en el objeto de usuario devuelto por la API.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/10/2024

Vulnerabilidad en imartinez/privategpt (CVE-2024-5186)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en la sección de carga de archivos de imartinez/privategpt versión 0.5.0. Esta vulnerabilidad permite a los atacantes enviar solicitudes manipuladas que podrían resultar en acceso no autorizado a la red local e información potencialmente confidencial. Específicamente, al manipular el parámetro &#39;ruta&#39; en una solicitud de carga de archivos, un atacante puede hacer que la aplicación realice solicitudes arbitrarias a servicios internos, incluido el endpoint de metadatos de AWS. Este problema podría provocar la exposición de servidores internos y datos confidenciales.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/05/2025

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5126)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de control de acceso inadecuado en el repositorio lunary-ai/lunary, específicamente dentro de la funcionalidad versions.patch para mensajes de actualización. Las versiones afectadas incluyen la 1.2.2 hasta la 1.2.25, pero no incluida. La vulnerabilidad permite a usuarios no autorizados actualizar los detalles del mensaje debido a controles de control de acceso insuficientes. Este problema se solucionó y solucionó en la versión 1.2.25.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/10/2025

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5128)

Fecha de publicación:

06/06/2024

Idioma:

Español

Se identificó una vulnerabilidad de referencia directa de objetos inseguros (IDOR) en lunary-ai/lunary, que afecta a las versiones hasta la 1.2.2 incluida. Esta vulnerabilidad permite a usuarios no autorizados ver, actualizar o eliminar cualquier dataset_prompt o dataset_prompt_variation dentro de cualquier conjunto de datos o proyecto. El problema surge de controles de acceso inadecuados en los endpoints de gestión de conjuntos de datos, donde las referencias directas a los ID de objetos no están adecuadamente protegidas contra el acceso no autorizado. Esta vulnerabilidad se solucionó en la versión 1.2.25.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5129)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de escalada de privilegios en lunary-ai/lunary versión 1.2.2, donde cualquier usuario puede eliminar cualquier conjunto de datos debido a que faltan verificaciones de autorización. La vulnerabilidad está presente en la funcionalidad de eliminación del conjunto de datos, donde la aplicación no puede verificar si el usuario que solicita la eliminación tiene los permisos adecuados. Esto permite a usuarios no autorizados enviar una solicitud DELETE al servidor y eliminar cualquier conjunto de datos especificando su ID. El problema se encuentra en la función datasets.delete dentro del archivo de índice de conjuntos de datos.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5130)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de autorización incorrecta en las versiones lunary-ai/lunary hasta la 1.2.2 incluida, que permite a los usuarios no autenticados eliminar cualquier conjunto de datos. La vulnerabilidad se debe a la falta de comprobaciones de autorización adecuadas en el endpoint de eliminación del conjunto de datos. Específicamente, el endpoint no verifica si el ID del proyecto proporcionado pertenece al usuario actual, lo que permite que se elimine cualquier conjunto de datos sin la autenticación adecuada. Este problema se solucionó en la versión 1.2.8.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/10/2025

Vulnerabilidad en parisneo/lollms (CVE-2024-4881)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de path traversal en la aplicación parisneo/lollms, que afecta a la versión 9.4.0 y potencialmente a versiones anteriores, pero se solucionó en la versión 5.9.0. La vulnerabilidad surge debido a una validación inadecuada de las rutas de archivos entre los entornos Windows y Linux, lo que permite a los atacantes ir más allá del directorio deseado y leer cualquier archivo en el sistema Windows. Específicamente, la aplicación no sanitiza adecuadamente las rutas de archivos que contienen barras invertidas (`\`), que pueden aprovecharse para acceder al directorio raíz y leer, o incluso eliminar, archivos confidenciales. Este problema se descubrió en el contexto del endpoint `/user_infos`, donde una solicitud manipulada que utiliza barras invertidas para hacer referencia a un archivo (por ejemplo, `\windows\win.ini`) podría resultar en un acceso no autorizado al archivo. El impacto de esta vulnerabilidad incluye la posibilidad de que los atacantes accedan a información confidencial, como variables de entorno, archivos de bases de datos y archivos de configuración, lo que podría comprometer aún más el sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/10/2024

Vulnerabilidad en Litellm de BerriAI (CVE-2024-4888)

Fecha de publicación:

06/06/2024

Idioma:

Español

Litellm de BerriAI, en su última versión, es vulnerable a la eliminación arbitraria de archivos debido a una validación de entrada incorrecta en el endpoint `/audio/transcriptions`. Un atacante puede aprovechar esta vulnerabilidad enviando una solicitud especialmente manipulada que incluya una ruta de archivo al servidor, que luego elimina el archivo especificado sin la autorización o validación adecuada. Esta vulnerabilidad está presente en el código donde se usa `os.remove(file.filename)` para eliminar un archivo, lo que permite a cualquier usuario eliminar archivos críticos en el servidor, como claves SSH, bases de datos SQLite o archivos de configuración.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2024

Suscribirse a Vulnerabilidades