Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en Cloud BI Platform de Sisense

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-794 sobre dos vulnerabilidades de severidad alta en Sisense Cloud BI Platform (SaaS), la plataforma de inteligencia de negocio y análisis de datos en la nube de Sisense.

Las vulnerabilidades, identificadas como CVE-2026-117493 y CVE-2026-117494, permiten escenarios de Cross-Site Scripting (XSS). Ambas cuentan con una puntuación CVSS v4.0 de 8.3 y están clasificadas bajo CWE-79.

Según la información disponible, no se ha reportado una solución por parte del fabricante y no existe explotación conocida de estas vulnerabilidades. No obstante, una explotación exitosa podría permitir la ejecución de JavaScript en el navegador de usuarios que visualicen contenido manipulado dentro de la plataforma.

Recursos afectados

El recurso afectado indicado en el aviso es:

• Sisense Cloud BI Platform (SaaS).

Descripción de las vulnerabilidades

Las dos vulnerabilidades notificadas afectan al tratamiento de contenido que puede ser mostrado posteriormente en la interfaz web de Sisense Cloud BI Platform. Se trata de fallos de tipo XSS almacenado o persistente, una categoría de vulnerabilidad en la que código malicioso introducido en una aplicación puede ejecutarse más adelante en el navegador de otros usuarios al acceder al contenido afectado.

CVE-2026-117493 afecta a los widgets BloX. La API /api/dashboards/<id>/widgets/<id> acepta contenido HTML y JavaScript a través de los parámetros desc y text. Al representarse el widget, el contenido introducido puede ejecutarse en el navegador.

CVE-2026-117494 se localiza en el procesamiento de imágenes SVG enviadas a la API /api/v2/ai/sessions mediante el formato data:image/svg+xml;base64. Si el SVG incluye etiquetas script, estas pueden procesarse al mostrar el contenido en la ventana del asistente, permitiendo ejecutar JavaScript y modificar el contenido presentado.

Ambos fallos están asociados a CWE-79, identificador que corresponde a la neutralización incorrecta de entradas durante la generación de páginas web, origen habitual de vulnerabilidades XSS.

Impacto y nivel de riesgo

Las vulnerabilidades tienen una puntuación base de CVSS v4.0: 8.3, con el vector:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L

El vector refleja que la explotación puede realizarse a través de red y con baja complejidad técnica, pero requiere privilegios bajos y la interacción de un usuario. En la práctica, el código introducido tendría que ser visualizado por una persona dentro de la plataforma para ejecutarse en su navegador.

De acuerdo con el aviso, la ejecución de código en el contexto del navegador podría comprometer la confidencialidad de la información accesible desde dicho contexto. En el caso de CVE-2026-117494, también podría permitir alterar el contenido mostrado en la ventana del asistente.

La existencia de estas vulnerabilidades no implica que hayan sido utilizadas en ataques. INCIBE-CERT indica “Explotación: No” para ambos CVE, por lo que no hay constancia de explotación activa o confirmada según la información publicada.

Solución y medidas recomendadas

No hay solución reportada por el momento. Por tanto, no se dispone de una actualización, parche o medida oficial de corrección indicada en el aviso.

Mientras Sisense publica información adicional o una solución, las organizaciones afectadas pueden aplicar medidas prudentes orientadas a reducir la exposición asociada a la creación y visualización de contenido potencialmente manipulable. Estas actuaciones no corrigen las vulnerabilidades y no sustituyen una actualización oficial.

Recomendaciones para organizaciones afectadas

• Identificar los entornos que utilizan Sisense Cloud BI Platform (SaaS) y evaluar qué usuarios disponen de permisos para crear o modificar dashboards, widgets BloX o contenido enviado a las funciones afectadas.
• Revisar la necesidad de mantener privilegios de edición para todos los usuarios y aplicar el principio de mínimo privilegio en los perfiles con capacidad para introducir contenido en dashboards o sesiones.
• Informar a los usuarios que visualicen dashboards y contenido del asistente sobre la necesidad de extremar la precaución ante elementos inesperados o modificados.
• Monitorizar las comunicaciones y avisos de Sisense e INCIBE-CERT para conocer la disponibilidad de una corrección oficial o nuevas indicaciones relacionadas con los CVE-2026-117493 y CVE-2026-117494.
• Planificar la aplicación prioritaria de cualquier solución oficial que publique el fabricante, teniendo en cuenta el impacto potencial sobre la confidencialidad de la información accesible desde el navegador.