Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en ALO Suite de AM System

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-827 sobre 15 vulnerabilidades en ALO Suite, software de gestión empresarial en la nube desarrollado por AM System. El conjunto incluye una vulnerabilidad de severidad alta y catorce de severidad media.

La incidencia más relevante es CVE-2026-108047, con una puntuación CVSS v4.0 de 8.6, que podría permitir la asignación no autorizada de privilegios administrativos a usuarios invitados. El resto de fallos contempla exposición de información mediante una referencia directa a objetos insegura, abuso de la recuperación de contraseñas por falta de limitación de solicitudes, clickjacking y once casos de Cross-Site Scripting almacenado.

La fuente indica “Explotación: No” para todos los CVE incluidos en el aviso. Por tanto, se han identificado vulnerabilidades con impacto potencial, pero no se informa de explotación activa o confirmada.

Recursos afectados

El producto afectado es:

• ALO Suite de AM System, versión 25_09_15.03_35.

Descripción de las vulnerabilidades

Las vulnerabilidades publicadas afectan a distintas funciones de la aplicación y presentan condiciones de explotación e impactos potenciales diferentes.

• CVE-2026-108046 — CVSS v4.0: 6.9 — CWE-639. Se trata de una vulnerabilidad de referencia directa a objetos insegura, también conocida como IDOR. El endpoint /Companies/Edit/{id} no aplicaría comprobaciones de autorización suficientes sobre los identificadores de objeto recibidos. Un atacante remoto no autenticado podría modificar el identificador para enumerar objetos válidos y acceder a información de otras empresas o usuarios sin contar con autorización.
• CVE-2026-108047 — CVSS v4.0: 8.6 — CWE-269. Esta vulnerabilidad afecta a la funcionalidad de invitación de usuarios mediante /Requests/userInvitation. La aplicación no validaría adecuadamente en el servidor la asignación de privilegios. Según el aviso, un atacante no autenticado podría manipular los parámetros de una solicitud de invitación legítima para asignar privilegios administrativos a un nuevo usuario invitado.
• CVE-2026-108048 — CVSS v4.0: 6.9 — CWE-770. El endpoint /Account/resetPwd carece de una limitación adecuada sobre el número o frecuencia de las peticiones de restablecimiento de contraseña. Esto permitiría realizar solicitudes repetidas para una cuenta y provocar el envío ilimitado de correos de recuperación.
• CVE-2026-108049 — CVSS v4.0: 5.1 — CWE-1021. La interfaz de inicio de sesión de ALO Suite podría ser incrustada en una página bajo control de un atacante al no disponer de mecanismos adecuados contra clickjacking, como la cabecera X-Frame-Options o una política Content-Security-Policy con frame-ancestors. Esta técnica busca inducir a la víctima a interactuar con elementos de una aplicación embebida en un marco malicioso.

Los CVE CVE-2026-108050 a CVE-2026-108060 corresponden a vulnerabilidades de Cross-Site Scripting almacenado o XSS almacenado, clasificadas como CWE-79 y con una puntuación CVSS v4.0 de 5.1. En estos casos, una persona con acceso autenticado a la función afectada podría introducir código JavaScript en campos que no se neutralizan o codifican adecuadamente. Dicho código podría ejecutarse en el navegador de otros usuarios cuando consulten los registros afectados.

• CVE-2026-108050: parámetro ReferenceOtherParty en /Documents/DeliveryNotes/Edit/{id}.
• CVE-2026-108051: parámetro Nombre en /Articulos/Create.
• CVE-2026-108052: parámetro Codigo en /CategoriasFicheros/Edit/{id}.
• CVE-2026-108053: parámetro Nombre en /CuentasCorrientes/Create.
• CVE-2026-108054: parámetro Nombre en /Familias/Edit/{id}.
• CVE-2026-108055: parámetro Nombre en /Inmuebles/Create.
• CVE-2026-108056: parámetro NombrePF en /Empresas/Create.
• CVE-2026-108057: parámetro Nombre en /PlantillasPdf/Edit/1273129.
• CVE-2026-108058: parámetro Nombre en /PlantillasMail/Edit.
• CVE-2026-108059: parámetro Observaciones en /Terceros/Create.
• CVE-2026-108060: parámetro Nombre en /Trabajadores/Create.

Impacto y nivel de riesgo

La vulnerabilidad prioritaria es CVE-2026-108047, clasificada como alta. Su explotación satisfactoria podría derivar en una escalada de privilegios y proporcionar acceso administrativo completo a la aplicación afectada. El vector CVSS publicado indica que requiere acceso de red, baja complejidad, privilegios bajos y no necesita interacción del usuario.

CVE-2026-108046 podría facilitar la divulgación no autorizada de información de la aplicación mediante la enumeración y manipulación de identificadores. La falta de autenticación requerida en este caso incrementa la relevancia de aplicar la actualización disponible con prioridad.

En el caso de CVE-2026-108048, el impacto previsto es la inundación de correos de restablecimiento de contraseña, el consumo de recursos de la aplicación y de la infraestructura de correo, así como el abuso automatizado de la funcionalidad de recuperación.

El clickjacking descrito en CVE-2026-108049 requiere que una víctima interactúe con una página web controlada por el atacante. Los casos de XSS almacenado requieren acceso autenticado a las funcionalidades vulnerables y que otros usuarios visualicen los datos manipulados. El código ejecutado podría modificar el contenido mostrado o realizar acciones en el contexto de la sesión de la víctima.

INCIBE-CERT no informa de explotación conocida de ninguno de los quince CVE. Esta ausencia de explotación confirmada no elimina el riesgo potencial para organizaciones que mantengan la versión afectada.

Solución y medidas recomendadas

AM System ha indicado que las vulnerabilidades fueron corregidas en ALO Suite versión 26_04_15.03_10, publicada en abril de 2026. La recomendación oficial es utilizar la versión corregida.

Las organizaciones que utilicen ALO Suite versión 25_09_15.03_35 deberían planificar la actualización con prioridad, especialmente por el impacto potencial de la escalada de privilegios y del acceso no autorizado a información asociado a los CVE de mayor puntuación.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de ALO Suite que ejecuten la versión 25_09_15.03_35.
2. Actualizar a la versión corregida 26_04_15.03_10, conforme a la indicación del fabricante.
3. Priorizar la corrección de los entornos expuestos a red, dada la existencia de vulnerabilidades que, según los vectores publicados, pueden ser accesibles remotamente sin autenticación.
4. Revisar la gestión de invitaciones y las cuentas con privilegios administrativos tras la actualización, debido al impacto potencial de CVE-2026-108047.
5. Prestar atención a los registros creados mediante las funcionalidades afectadas por XSS almacenado, en particular cuando puedan

   Fuente: link

   Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.

   TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.

   Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.