Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en imartinez/privategpt (CVE-2024-5186)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en la sección de carga de archivos de imartinez/privategpt versión 0.5.0. Esta vulnerabilidad permite a los atacantes enviar solicitudes manipuladas que podrían resultar en acceso no autorizado a la red local e información potencialmente confidencial. Específicamente, al manipular el parámetro &#39;ruta&#39; en una solicitud de carga de archivos, un atacante puede hacer que la aplicación realice solicitudes arbitrarias a servicios internos, incluido el endpoint de metadatos de AWS. Este problema podría provocar la exposición de servidores internos y datos confidenciales.

Gravedad CVSS v3.1: ALTA

Última modificación:

19/05/2025

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5126)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de control de acceso inadecuado en el repositorio lunary-ai/lunary, específicamente dentro de la funcionalidad versions.patch para mensajes de actualización. Las versiones afectadas incluyen la 1.2.2 hasta la 1.2.25, pero no incluida. La vulnerabilidad permite a usuarios no autorizados actualizar los detalles del mensaje debido a controles de control de acceso insuficientes. Este problema se solucionó y solucionó en la versión 1.2.25.

Gravedad CVSS v3.1: MEDIA

Última modificación:

15/10/2025

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5128)

Fecha de publicación:

06/06/2024

Idioma:

Español

Se identificó una vulnerabilidad de referencia directa de objetos inseguros (IDOR) en lunary-ai/lunary, que afecta a las versiones hasta la 1.2.2 incluida. Esta vulnerabilidad permite a usuarios no autorizados ver, actualizar o eliminar cualquier dataset_prompt o dataset_prompt_variation dentro de cualquier conjunto de datos o proyecto. El problema surge de controles de acceso inadecuados en los endpoints de gestión de conjuntos de datos, donde las referencias directas a los ID de objetos no están adecuadamente protegidas contra el acceso no autorizado. Esta vulnerabilidad se solucionó en la versión 1.2.25.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5129)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de escalada de privilegios en lunary-ai/lunary versión 1.2.2, donde cualquier usuario puede eliminar cualquier conjunto de datos debido a que faltan verificaciones de autorización. La vulnerabilidad está presente en la funcionalidad de eliminación del conjunto de datos, donde la aplicación no puede verificar si el usuario que solicita la eliminación tiene los permisos adecuados. Esto permite a usuarios no autorizados enviar una solicitud DELETE al servidor y eliminar cualquier conjunto de datos especificando su ID. El problema se encuentra en la función datasets.delete dentro del archivo de índice de conjuntos de datos.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/10/2024

Vulnerabilidad en lunary-ai/lunary (CVE-2024-5130)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de autorización incorrecta en las versiones lunary-ai/lunary hasta la 1.2.2 incluida, que permite a los usuarios no autenticados eliminar cualquier conjunto de datos. La vulnerabilidad se debe a la falta de comprobaciones de autorización adecuadas en el endpoint de eliminación del conjunto de datos. Específicamente, el endpoint no verifica si el ID del proyecto proporcionado pertenece al usuario actual, lo que permite que se elimine cualquier conjunto de datos sin la autenticación adecuada. Este problema se solucionó en la versión 1.2.8.

Gravedad CVSS v3.1: ALTA

Última modificación:

15/10/2025

Vulnerabilidad en parisneo/lollms (CVE-2024-4881)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de path traversal en la aplicación parisneo/lollms, que afecta a la versión 9.4.0 y potencialmente a versiones anteriores, pero se solucionó en la versión 5.9.0. La vulnerabilidad surge debido a una validación inadecuada de las rutas de archivos entre los entornos Windows y Linux, lo que permite a los atacantes ir más allá del directorio deseado y leer cualquier archivo en el sistema Windows. Específicamente, la aplicación no sanitiza adecuadamente las rutas de archivos que contienen barras invertidas (`\`), que pueden aprovecharse para acceder al directorio raíz y leer, o incluso eliminar, archivos confidenciales. Este problema se descubrió en el contexto del endpoint `/user_infos`, donde una solicitud manipulada que utiliza barras invertidas para hacer referencia a un archivo (por ejemplo, `\windows\win.ini`) podría resultar en un acceso no autorizado al archivo. El impacto de esta vulnerabilidad incluye la posibilidad de que los atacantes accedan a información confidencial, como variables de entorno, archivos de bases de datos y archivos de configuración, lo que podría comprometer aún más el sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/10/2024

Vulnerabilidad en Litellm de BerriAI (CVE-2024-4888)

Fecha de publicación:

06/06/2024

Idioma:

Español

Litellm de BerriAI, en su última versión, es vulnerable a la eliminación arbitraria de archivos debido a una validación de entrada incorrecta en el endpoint `/audio/transcriptions`. Un atacante puede aprovechar esta vulnerabilidad enviando una solicitud especialmente manipulada que incluya una ruta de archivo al servidor, que luego elimina el archivo especificado sin la autorización o validación adecuada. Esta vulnerabilidad está presente en el código donde se usa `os.remove(file.filename)` para eliminar un archivo, lo que permite a cualquier usuario eliminar archivos críticos en el servidor, como claves SSH, bases de datos SQLite o archivos de configuración.

Gravedad CVSS v3.1: ALTA

Última modificación:

03/11/2024

Vulnerabilidad en berriai/litellm (CVE-2024-4890)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de inyección SQL ciega en la aplicación berriai/litellm, específicamente dentro del proceso &#39;/team/update&#39;. La vulnerabilidad surge debido al manejo inadecuado del parámetro &#39;user_id&#39; en la consulta SQL sin formato utilizada para eliminar usuarios. Un atacante puede aprovechar esta vulnerabilidad inyectando comandos SQL maliciosos a través del parámetro &#39;user_id&#39;, lo que lleva a un posible acceso no autorizado a información confidencial como claves API, información de usuario y tokens almacenados en la base de datos. La versión afectada es la 1.27.14.

Gravedad CVSS v3.1: MEDIA

Última modificación:

10/10/2024

Vulnerabilidad en gaizhenbiao/chuanhuchatgpt (CVE-2024-5124)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de ataque sincronizado en el repositorio gaizhenbiao/chuanhuchatgpt, específicamente dentro de la lógica de comparación de contraseñas. La vulnerabilidad está presente en la versión 20240310 del software, donde las contraseñas se comparan utilizando el operador &#39;=" en Python. Este método de comparación permite a un atacante adivinar contraseñas basándose en el momento de la comparación de cada carácter. El problema surge del segmento de código que verifica una contraseña para un nombre de usuario en particular, lo que puede llevar a la exposición de información confidencial a un actor no autorizado. Un atacante que aproveche esta vulnerabilidad podría adivinar las contraseñas de los usuarios, comprometiendo la seguridad del sistema.

Gravedad CVSS v3.1: ALTA

Última modificación:

04/11/2024

Vulnerabilidad en parisneo/lollms (CVE-2024-3429)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de path traversal en la aplicación parisneo/lollms, específicamente dentro de las funciones `sanitize_path_from_endpoint` y `sanitize_path` en `lollms_core\lollms\security.py`. Esta vulnerabilidad permite la lectura arbitraria de archivos cuando la aplicación se ejecuta en Windows. El problema surge debido a una sanitización insuficiente de la entrada proporcionada por el usuario, lo que permite a los atacantes eludir los mecanismos de protección de path traversal mediante la creación de entradas maliciosas. Una explotación exitosa podría dar lugar a acceso no autorizado a archivos confidenciales, divulgación de información y, potencialmente, una condición de denegación de servicio (DoS) al incluir numerosos archivos grandes o que consumen muchos recursos. Esta vulnerabilidad afecta a la última versión anterior a la 9.6.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

25/09/2024

Vulnerabilidad en parisneo/lollms-webui (CVE-2024-4320)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de ejecución remota de código (RCE) en el endpoint &#39;/install_extension&#39; de la aplicación parisneo/lollms-webui, específicamente dentro del controlador de ruta `@router.post("/install_extension")`. La vulnerabilidad surge debido al manejo inadecuado del parámetro `name` en el método `ExtensionBuilder().build_extension()`, que permite la inclusión de archivos locales (LFI) que conducen a la ejecución de código arbitrario. Un atacante puede aprovechar esta vulnerabilidad creando un parámetro "nombre" malicioso que hace que el servidor cargue y ejecute un archivo "__init__.py" desde una ubicación arbitraria, como el directorio de carga para discusiones. Esta vulnerabilidad afecta a la última versión de parisneo/lollms-webui y puede provocar la ejecución remota de código sin requerir la interacción del usuario, especialmente cuando la aplicación está expuesta a un endpoint externo o se opera en modo sin cabeza.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

17/10/2024

Vulnerabilidad en stangirard/quivr (CVE-2024-4851)

Fecha de publicación:

06/06/2024

Idioma:

Español

Existe una vulnerabilidad de Server-Side Request Forgery (SSRF) en la aplicación stangirard/quivr, versión 0.0.204, que permite a los atacantes acceder a redes internas. La vulnerabilidad está presente en el endpoint de rastreo donde el parámetro &#39;url&#39; puede manipularse para enviar solicitudes HTTP a URL arbitrarias, facilitando así los ataques SSRF. El código afectado se encuentra en el archivo backend/routes/crawl_routes.py, específicamente dentro de la función crawl_endpoint. Este problema podría permitir a los atacantes interactuar con servicios internos a los que se puede acceder desde el servidor que aloja la aplicación.

Gravedad CVSS v3.1: ALTA

Última modificación:

17/10/2024

Suscribirse a Vulnerabilidades