Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-3234)
Fecha de publicación:
06/06/2024
Idioma:
Español
La aplicación gaizhenbiao/chuanhuchatgpt es vulnerable a un ataque de path traversal debido al uso de un componente gradio obsoleto. La aplicación está manipulada para restringir el acceso de los usuarios a los recursos dentro de la carpeta `web_assets`. Sin embargo, la versión obsoleta de gradio que emplea es susceptible de atravesar rutas, como se identifica en CVE-2023-51449. Esta vulnerabilidad permite a usuarios no autorizados eludir las restricciones previstas y acceder a archivos confidenciales, como `config.json`, que contiene claves API. El problema afecta a la última versión de chuanhuchatgpt anterior a la versión corregida publicada el 20240305.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
24/09/2024

Vulnerabilidad en parisneo/lollms-webui (CVE-2024-3322)
Fecha de publicación:
06/06/2024
Idioma:
Español
Existe una vulnerabilidad de path traversal en la personalidad nativa 'cyber_security/codeguard' de parisneo/lollms-webui, que afecta a las versiones hasta la 9.5. La vulnerabilidad surge de la limitación inadecuada de un nombre de ruta a un directorio restringido en la función 'process_folder' dentro de 'lollms-webui/zoos/personalities_zoo/cyber_security/codeguard/scripts/processor.py'. Específicamente, la función no sanitiza adecuadamente la entrada proporcionada por el usuario para 'code_folder_path', lo que permite a un atacante especificar rutas arbitrarias usando '../' o rutas absolutas. Esta falla genera capacidades arbitrarias de lectura y sobrescritura de archivos en directorios específicos sin limitaciones, lo que plantea un riesgo significativo de divulgación de información confidencial y manipulación no autorizada de archivos.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
17/10/2024

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-3402)
Fecha de publicación:
06/06/2024
Idioma:
Español
Existía una vulnerabilidad de Cross-site Scripting (XSS) almacenado en la versión (20240121) de gaizhenbiao/chuanhuchatgpt debido a una sanitización y validación inadecuadas de los datos de salida del modelo. A pesar de los esfuerzos de validación de las entradas del usuario, la aplicación no sanitiza ni valida adecuadamente la salida del modelo, lo que permite la inyección y ejecución de código JavaScript malicioso dentro del contexto del navegador de un usuario. Esta vulnerabilidad puede provocar la ejecución de código JavaScript arbitrario en el contexto de los navegadores de otros usuarios, lo que podría provocar el secuestro de los navegadores de las víctimas.
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/09/2024

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-3404)
Fecha de publicación:
06/06/2024
Idioma:
Español
En gaizhenbiao/chuanhuchatgpt, específicamente en la versión etiquetada como 20240121, existe una vulnerabilidad debido a mecanismos de control de acceso inadecuados. Esta falla permite a un atacante autenticado eludir las restricciones de acceso previstas y leer los archivos "historiales" de otros usuarios, lo que podría conducir a un acceso no autorizado a información confidencial. La vulnerabilidad está presente en el manejo del control de acceso de la aplicación para la ruta del "historial", donde no existe ningún mecanismo adecuado para evitar que un usuario autenticado acceda a los archivos del historial de chat de otro usuario. Este problema plantea un riesgo importante, ya que podría permitir a los atacantes obtener información confidencial del historial de chat de otros usuarios.
Gravedad CVSS v3.1: MEDIA
Última modificación:
15/10/2025

Vulnerabilidad en man-group/dtale (CVE-2024-3408)
Fecha de publicación:
06/06/2024
Idioma:
Español
man-group/dtale versión 3.10.0 es vulnerable a una omisión de autenticación y ejecución remota de código (RCE) debido a una validación de entrada incorrecta. La vulnerabilidad surge de una `SECRET_KEY` codificada en la configuración del matraz, lo que permite a los atacantes falsificar una cookie de sesión si la autenticación está habilitada. Además, la aplicación no puede restringir adecuadamente las consultas de filtro personalizado, lo que permite a los atacantes ejecutar código arbitrario en el servidor evitando la restricción en el endpoint `/update-settings`, incluso cuando `enable_custom_filters` no está habilitado. Esta vulnerabilidad permite a los atacantes eludir los mecanismos de autenticación y ejecutar código remoto en el servidor.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
03/11/2024

Vulnerabilidad en mintplex-labs/anything-llm (CVE-2024-3149)
Fecha de publicación:
06/06/2024
Idioma:
Español
Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en la función de enlace de carga de mintplex-labs/anything-llm. Esta función, destinada a usuarios con funciones de administrador o administrador, procesa los enlaces cargados a través de una API interna de Collector mediante un navegador sin cabeza. Un atacante puede aprovechar esto alojando un sitio web malicioso y usándolo para realizar acciones como escaneo de puertos internos, acceder a aplicaciones web internas no expuestas externamente e interactuar con la API de Collector. Esta interacción puede dar lugar a acciones no autorizadas, como la eliminación arbitraria de archivos y la inclusión de archivos locales (LFI) limitada, incluido el acceso a los registros de acceso de NGINX que pueden contener información confidencial.
Gravedad CVSS v3.1: ALTA
Última modificación:
24/09/2024

Vulnerabilidad en mintplex-labs/anything-llm (CVE-2024-3150)
Fecha de publicación:
06/06/2024
Idioma:
Español
En mintplex-labs/anything-llm, existe una vulnerabilidad en el proceso de actualización de subprocesos que permite a los usuarios con roles predeterminados o de administrador escalar sus privilegios a administrador. El problema surge de una validación de entrada incorrecta al manejar solicitudes HTTP POST al endpoint `/workspace/:slug/thread/:threadSlug/update`. Específicamente, la aplicación no puede validar o verificar la entrada del usuario antes de pasarla al modelo Prisma `workspace_thread` para su ejecución. Esta supervisión permite a los atacantes crear una operación de consulta de relación Prisma que manipula el modelo de "usuarios" para cambiar la función de un usuario a administrador. La explotación exitosa otorga a los atacantes el nivel más alto de privilegios de usuario, permitiéndoles ver y realizar todas las acciones dentro del sistema.
Gravedad CVSS v3.1: ALTA
Última modificación:
04/11/2024

Vulnerabilidad en mintplex-labs/anything-llm (CVE-2024-3153)
Fecha de publicación:
06/06/2024
Idioma:
Español
mintplex-labs/anything-llm se ve afectado por una vulnerabilidad de consumo de recursos incontrolado en su endpoint de carga de archivos, lo que genera una condición de denegación de servicio (DOS). Específicamente, el servidor se puede cerrar enviando una solicitud de carga no válida. Un atacante con la capacidad de cargar documentos puede aprovechar esta vulnerabilidad para provocar una condición de DOS manipulando la solicitud de carga.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/09/2024

Vulnerabilidad en mintplex-labs/anything-llm (CVE-2024-3166)
Fecha de publicación:
06/06/2024
Idioma:
Español
Existe una vulnerabilidad de Cross-site Scripting (XSS) en mintplex-labs/anything-llm, que afecta tanto a la versión 1.2.0 de la aplicación de escritorio como a la última versión de la aplicación web. La vulnerabilidad surge de la función de la aplicación para buscar e incrustar contenido de sitios web en espacios de trabajo, que pueden explotarse para ejecutar código JavaScript arbitrario. En la aplicación de escritorio, esta falla se puede escalar a ejecución remota de código (RCE) debido a configuraciones inseguras de la aplicación, específicamente la habilitación de 'nodeIntegration' y la deshabilitación de 'contextIsolation' en las preferencias web de Electron. El problema se solucionó en la versión 1.4.2 de la aplicación de escritorio.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
23/10/2024

Vulnerabilidad en Web Research Retriever (CVE-2024-3095)
Fecha de publicación:
06/06/2024
Idioma:
Español
Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en el componente Web Research Retriever de langchain-ai/langchain versión 0.1.5. La vulnerabilidad surge porque Web Research Retriever no restringe las solicitudes a direcciones de Internet remotas, lo que le permite llegar a direcciones locales. Esta falla permite a los atacantes ejecutar escaneos de puertos, acceder a servicios locales y, en algunos escenarios, leer metadatos de instancias de entornos de nube. La vulnerabilidad es particularmente preocupante ya que puede explotarse para abusar del servidor Web Explorer como proxy para ataques web a terceros e interactuar con servidores en la red local, incluida la lectura de sus datos de respuesta. Esto podría conducir potencialmente a la ejecución de código arbitrario, dependiendo de la naturaleza de los servicios locales. La vulnerabilidad se limita a las solicitudes GET, ya que las solicitudes POST no son posibles, pero el impacto en la confidencialidad, la integridad y la disponibilidad es significativo debido al potencial de robo de credenciales e interacciones de cambio de estado con las API internas.
Gravedad CVSS v3.1: ALTA
Última modificación:
17/10/2024

Vulnerabilidad en mlflow/mlflow (CVE-2024-3099)
Fecha de publicación:
06/06/2024
Idioma:
Español
Una vulnerabilidad en mlflow/mlflow versión 2.11.1 permite a los atacantes crear múltiples modelos con el mismo nombre explotando la codificación URL. Esta falla puede provocar una denegación de servicio (DoS), ya que es posible que un usuario autenticado no pueda utilizar el modelo deseado, ya que abrirá un modelo diferente cada vez. Además, un atacante puede aprovechar esta vulnerabilidad para envenenar el modelo de datos creando un modelo con el mismo nombre, lo que podría provocar que un usuario autenticado se convierta en víctima al utilizar el modelo envenenado. El problema surge de una validación inadecuada de los nombres de los modelos, lo que permite la creación de modelos con nombres codificados en URL que se tratan como distintos de sus homólogos decodificados en URL.
Gravedad CVSS v3.1: MEDIA
Última modificación:
11/10/2024

Vulnerabilidad en JSON (CVE-2024-3102)
Fecha de publicación:
06/06/2024
Idioma:
Español
Existe una vulnerabilidad de inyección JSON en la aplicación `mintplex-labs/anything-llm`, específicamente dentro del parámetro de nombre de usuario durante el proceso de inicio de sesión en el endpoint `/api/request-token`. La vulnerabilidad surge del manejo inadecuado de los valores, lo que permite a los atacantes realizar ataques de fuerza bruta sin conocimiento previo del nombre de usuario. Una vez conocida la contraseña, los atacantes pueden realizar ataques ciegos para determinar el nombre de usuario completo, comprometiendo significativamente la seguridad del sistema.
Gravedad CVSS v3.1: MEDIA
Última modificación:
03/11/2024
Suscribirse a Vulnerabilidades