Resumen de la alerta

INCIBE-CERT ha informado de cuatro vulnerabilidades en Coupa Total Spend Management Platform de Coupa, incluidas funcionalidades de la plataforma SaaS Coupa Supplier Portal. Dos de los fallos están clasificados como de severidad alta y dos como de severidad media.

Las vulnerabilidades identificadas abarcan una falsificación de solicitudes del lado del servidor (SSRF), una inyección de fórmulas CSV, un Cross-Site Scripting (XSS) reflejado y una inyección persistente de HTML. Según la información publicada, no existe explotación conocida de ninguno de los cuatro CVE.

En el momento de la publicación del aviso, no se ha reportado una solución oficial. Las organizaciones usuarias deben revisar especialmente los permisos de las cuentas que pueden modificar plantillas, crear contenido en el módulo de Licitaciones o editar campos basados en TinyMCE.

Recursos afectados

El recurso afectado identificado es:

Coupa Total Spend Management Platform de Coupa.

La información disponible menciona específicamente componentes y funciones de Coupa Supplier Portal, entre ellos la conversión de documentos en «Contratos > Plantillas», el módulo de Licitaciones, la exportación a CSV y campos editables gestionados mediante TinyMCE.

No se han indicado versiones afectadas ni versiones corregidas.

Descripción de las vulnerabilidades

Las cuatro vulnerabilidades han sido descubiertas por David Sacristán Manzanares y cuentan con los siguientes identificadores:

CVE-2026-111036 — Severidad alta, CVSS v4.0: 8.4. CWE-918.
CVE-2026-111038 — Severidad alta, CVSS v4.0: 7.3. CWE-1236.
CVE-2026-111037 — Severidad media, CVSS v4.0: 5.1. CWE-79.
CVE-2026-111040 — Severidad media, CVSS v4.0: 5.1. CWE-80.

CVE-2026-111036: SSRF en la conversión de documentos

Esta vulnerabilidad afecta a la conversión de archivos DOCX a PDF en la sección «Contratos > Plantillas» de Coupa Supplier Portal. El problema está relacionado con una validación insuficiente de referencias a recursos externos procesadas por la biblioteca Aspose.Words para Java.

Un usuario autenticado que disponga de permisos para modificar plantillas podría cargar un documento DOCX manipulado con referencias externas. Como resultado, el servidor podría realizar solicitudes hacia URL controladas por el atacante, recursos de la red interna o archivos locales. Este tipo de fallo se conoce como SSRF y puede utilizarse para inducir al servidor a acceder a recursos que no deberían estar disponibles para el usuario.

Su vector CVSS v4.0 es: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L.

CVE-2026-111038: inyección de fórmulas en archivos CSV

La vulnerabilidad se localiza en la funcionalidad de exportación de archivos CSV de Coupa Supplier Portal. Determinados datos introducidos por usuarios, como nombres de eventos o plantillas dentro del módulo de Licitaciones, pueden incorporarse a los archivos exportados sin una neutralización adecuada.

Un usuario con privilegios bajos podría introducir valores que comiencen por caracteres interpretados como fórmulas por aplicaciones de hoja de cálculo. Si otra persona descarga y abre el CSV con un cliente compatible, ese contenido podría procesarse como una fórmula. La fuente indica que esto podría dar lugar a acciones no autorizadas, incluida la ejecución de comandos mediante mecanismos como DDE, el acceso a información o la interacción con recursos del sistema bajo el contexto de la víctima.

Su vector CVSS v4.0 es: CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N.

CVE-2026-111037: XSS reflejado en Licitaciones

El módulo de Licitaciones presenta un XSS reflejado asociado al parámetro list_item_function. El valor de este parámetro se refleja en la respuesta del servidor sin una codificación o sanitización de salida suficiente y queda insertado directamente en el contexto de un controlador de eventos JavaScript.

Un atacante autenticado con privilegios bajos podría elaborar una URL con código JavaScript malicioso. Para que el ataque tenga efecto, una víctima debe abrir dicha URL. Si se cumplen estas condiciones, el script podría ejecutarse en el navegador de la víctima dentro del contexto de la aplicación.

Su vector CVSS v4.0 es: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N.

CVE-2026-111040: inyección persistente de HTML

La plataforma permite almacenar contenido HTML no sanitizado en campos editables gestionados mediante TinyMCE. Un usuario autenticado con privilegios bajos podría introducir código HTML que quedaría guardado en la base de datos y se mostraría posteriormente a otros usuarios al visualizar el contenido afectado.

La persistencia del contenido diferencia este caso de un XSS reflejado: el contenido introducido no depende necesariamente de que la víctima abra una URL manipulada, sino que puede presentarse cuando otros usuarios acceden al elemento donde quedó almacenado.

Su vector CVSS v4.0 es: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N.

Impacto y nivel de riesgo

La prioridad principal recae en CVE-2026-111036, clasificada con una puntuación CVSS v4.0 de 8.4. Su explotación requiere una cuenta autenticada con permisos elevados para modificar plantillas, pero no requiere interacción de otra persona. De explotarse con éxito, podría facilitar la divulgación de información sensible accesible desde el servidor, incluidos archivos de configuración, archivos del sistema, credenciales, variables de entorno y endpoints de servicios internos.

CVE-2026-111038, con CVSS v4.0 de 7.3, afecta al proceso de exportación y requiere tanto una cuenta con privilegios bajos como la interacción de una víctima que descargue y abra el archivo CSV generado. El impacto potencial se materializa en el equipo de la persona que abre el documento con una aplicación compatible.

Los dos fallos de severidad media requieren autenticación con privilegios bajos e interacción de la víctima. El XSS reflejado podría permitir ejecutar scripts en el navegador de la persona que abra una URL manipulada, con capacidad potencial para realizar acciones en su nombre, acceder a información disponible en su sesión o alterar la interfaz. La inyección persistente de HTML podría afectar a otros usuarios que visualicen contenido almacenado por un atacante.

INCIBE-CERT indica “Explotación: No” para los cuatro CVE. Por tanto, el aviso describe vulnerabilidades existentes y sus posibles consecuencias, pero no confirma ataques activos ni explotación conocida.

Solución y medidas recomendadas

No hay solución reportada por el momento. No se han publicado versiones corregidas, parches ni mitigaciones oficiales específicas en la información disponible.

Mientras se espera información adicional del fabricante, las medidas siguientes pueden ayudar a reducir la exposición, pero no sustituyen una corrección oficial:

Revisar qué cuentas disponen de permisos para crear o modificar plantillas en «Contratos > Plantillas» y aplicar el principio de mínimo privilegio.
Limitar la capacidad de usuarios con privilegios bajos para introducir o modificar contenido en los módulos de Licitaciones y en campos editables mediante TinyMCE cuando el proceso operativo lo permita.
Informar a los usuarios que descargan exportaciones CSV sobre el riesgo de abrir archivos con contenido no esperado y de habilitar comportamientos activos en aplicaciones de hoja de cálculo.
Revisar los procesos internos que impliquen compartir enlaces de Coupa Supplier Portal, especialmente si proceden de remitentes no verificados, para reducir el riesgo asociado a URLs manipuladas.
Mantener seguimiento de las comunicaciones de Coupa e INCIBE-CERT para identificar la publicación de actual

Fuente: link

Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.

TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.

Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.