Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en la aplicación de SABBATIC

Resumen de la alerta

INCIBE-CERT ha comunicado cinco vulnerabilidades de severidad media en SABBATIC, una aplicación destinada a la digitalización de tickets de gasto y facturas. Cuatro de los fallos corresponden a vulnerabilidades de tipo Cross-Site Scripting (XSS) almacenado y uno a Cross-Site Request Forgery (CSRF).

Las vulnerabilidades disponen de una puntuación base de 4.8 en CVSS v4.0. Los vectores publicados indican que la explotación requiere privilegios bajos (PR:L) e interacción de un usuario (UI:A). INCIBE-CERT señala “Explotación: No” para todos los CVE afectados; por tanto, no se ha informado de explotación conocida de estas vulnerabilidades.

Recursos afectados

El recurso afectado identificado en el aviso es la aplicación SABBATIC.

La fuente no detalla las versiones vulnerables. El equipo de SABBATIC ha corregido los problemas en las versiones 7.96.0.1 y 7.96.0.2.

Descripción de las vulnerabilidades

Cuatro de las vulnerabilidades son de tipo XSS almacenado, clasificadas como CWE-79. Este tipo de fallo puede permitir que un atacante almacene código JavaScript en campos de la aplicación. Si dicho contenido se muestra posteriormente a otro usuario, el código podría ejecutarse en el navegador de la víctima dentro del contexto de la aplicación.

Los identificadores CVE, endpoints y parámetros asociados a los fallos XSS son los siguientes:

• CVE-2026-5697: parámetro nombre en el endpoint /usuario.
• CVE-2026-5698: parámetros titulo_es y add_etiquetas%5B%5D en el endpoint /categorías.
• CVE-2026-5699: parámetro companyName en el endpoint /empresa.
• CVE-2026-5700: parámetro observaciones en el endpoint /mis-gastos.

El quinto problema, CVE-2026-5702, está clasificado como CWE-352 y corresponde a una vulnerabilidad de tipo CSRF. Un ataque de este tipo puede inducir a un usuario que ya ha iniciado sesión a pulsar un enlace malicioso o cargar una página que envíe solicitudes no autorizadas hacia un endpoint vulnerable.

Impacto y nivel de riesgo

Una explotación exitosa de las vulnerabilidades XSS podría provocar la ejecución de código JavaScript en el navegador de un usuario que visite contenido previamente manipulado. El alcance concreto dependería de la interacción del usuario con los elementos afectados y de los permisos disponibles en su sesión.

En el caso de la vulnerabilidad CSRF, el riesgo potencial consiste en que un usuario autenticado pueda realizar solicitudes no autorizadas sin ser consciente de ello. La fuente no especifica qué acciones concretas podrían efectuarse mediante el endpoint vulnerable.

Los cinco CVE tienen una puntuación de 4.8 y severidad media. Para CVE-2026-5697, CVE-2026-5698, CVE-2026-5699 y CVE-2026-5700, el vector publicado es CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N. Para CVE-2026-5702, el vector indicado es CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N.

La necesidad de privilegios bajos y de interacción de un usuario reduce la exposición práctica frente a fallos que pueden explotarse sin autenticación ni participación de terceros. No obstante, las organizaciones que utilicen SABBATIC deberían priorizar la aplicación de las versiones corregidas.

Solución y medidas recomendadas

La solución comunicada por SABBATIC consiste en actualizar la aplicación a las versiones 7.96.0.1 y 7.96.0.2, en las que se han corregido las vulnerabilidades notificadas.

Como medidas complementarias, que no sustituyen la actualización oficial, las organizaciones pueden revisar los flujos que permitan a usuarios con privilegios bajos introducir o modificar los campos afectados. También resulta prudente informar a los usuarios sobre los riesgos de interactuar con enlaces o contenidos no confiables mientras se completa la actualización.

Recomendaciones para organizaciones afectadas

1. Confirmar si la organización utiliza la aplicación SABBATIC.
2. Planificar y aplicar la actualización a las versiones corregidas 7.96.0.1 y 7.96.0.2.
3. Revisar especialmente el uso de los endpoints /usuario, /categorías, /empresa y /mis-gastos, identificados en los fallos XSS almacenados.
4. Valorar los permisos de los usuarios que pueden introducir contenido en los parámetros afectados, dado que el vector CVSS indica requisitos de privilegios bajos.
5. Comunicar a los usuarios la conveniencia de actuar con cautela ante enlaces o páginas no confiables, especialmente si mantienen una sesión autenticada en SABBATIC.