Múltiples vulnerabilidades en ALO Suite de AM System

Fecha de publicación 03/11/2026

Identificador

INCIBE-2026-827

Importancia

4 - Alta

Recursos Afectados

ALO Suite, versión 25_09_15.03_35.

Descripción

INCIBE ha coordinado la publicación de 15 vulnerabilidades, una de severidad alta y 14 de severidad media, que afectan a ALO Suite de AM System, un software de gestión empresarial en la nube. Las vulnerabilidades han sido descubiertas por David Padilla Alvarado.

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE:

CVE-2026-108046: CVSS v4.0: 6.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-639
CVE-2026-108047: CVSS v4.0: 8.6 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N | CWE-269
CVE-2026-108048: CVSS v4.0: 6.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N | CWE-770
CVE-2026-108049: CVSS v4.0: 5.1 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-1021
Desde CVE-2026-108050 hasta CVE-2026-108060: CVSS v4.0: 5.1 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79

Solución

El fabricante ha indicado que las vulnerabilidades han sido corregidas en la versión 26_04_15.03_10 de ALO Suite, de abril de 2026. Se recomienda utilizar la versión corregida.

Detalle

CVE-2026-108046: vulnerabilidad de referencia directa a objetos inseguros (IDOR) en Alosuite debido a comprobaciones de autorización insuficientes al procesar identificadores de objetos. Al modificar el identificador proporcionado al endpoint ‘/Companies/Edit/{id}’, un atacante puede acceder a información asociada a otras empresas o usuarios sin la autorización correspondiente. La vulnerabilidad permite a atacantes remotos no autenticados enumerar identificadores de objetos válidos y recuperar información que debería estar restringida a usuarios autorizados, lo que provoca la divulgación no autorizada de datos de la aplicación.
CVE-2026-108047: vulnerabilidad de autorización inadecuada en la funcionalidad de invitación de usuarios de Alosuite. El endpoint ‘/Requests/userInvitation’ no valida adecuadamente la asignación de privilegios en el servidor, lo que permite a un atacante manipular los parámetros de invitación durante el proceso de solicitud. Al interceptar y modificar una solicitud de invitación legítima, un atacante no autenticado puede asignar privilegios administrativos a un nuevo usuario invitado sin las comprobaciones de autorización correspondientes. Una explotación satisfactoria provoca una escalada de privilegios no autorizada que permite el acceso administrativo completo a la aplicación afectada.
CVE-2026-108048: vulnerabilidad por ausencia de limitación de solicitudes en la funcionalidad de recuperación de contraseña de Alosuite. El endpoint ‘/Account/resetPwd’ no aplica restricciones adecuadas sobre el número o la frecuencia de las solicitudes de restablecimiento de contraseña enviadas para una misma cuenta. Como resultado, un atacante remoto puede invocar repetidamente el endpoint para generar un número ilimitado de correos de restablecimiento de contraseña dirigidos a un usuario, provocando una inundación de correos y permitiendo el abuso del mecanismo de recuperación de contraseña. La ausencia de limitación de solicitudes u otros controles contra la automatización puede perjudicar a los usuarios legítimos, consumir recursos de la aplicación y de la infraestructura de correo y facilitar ataques automatizados contra el servicio de recuperación de contraseña.
CVE-2026-108049: vulnerabilidad de clickjacking en la aplicación web Alosuite. La interfaz de inicio de sesión afectada puede incrustarse en una página web controlada por un atacante porque no implementa mecanismos de protección adecuados para la interfaz de usuario, como la cabecera X-Frame-Options o una directiva Content-Security-Policy (frame-ancestors) apropiada. Al engañar a una víctima para que interactúe con una página web maliciosa, un atacante puede inducir acciones no deseadas dentro de la aplicación Alosuite incrustada en el marco, lo que podría comprometer la integridad de las interacciones del usuario y facilitar otros ataques contra usuarios autenticados
CVE-2026-108050 a CVE-2026-108060: vulnerabilidad de Cross-Site Scripting (XSS) almacenado en Alosuite que afecta a la funcionalidad de albaranes. la neutralización y codificación insuficientes de los campos indicados permiten almacenar JavaScript que se ejecuta en el navegador de otros usuarios al visualizar los registros afectados. La explotación requiere acceso autenticado a la funcionalidad afectada. El código puede alterar el contenido mostrado y realizar acciones en el contexto de la sesión de la víctima. La relación de funcionalidades, parámetros y endpoints es la siguiente:
- CVE-2026-108050: ReferenceOtherParty en ‘/Documents/DeliveryNotes/Edit/{id}’;
- CVE-2026-108051: Nombre en ‘/Articulos/Create’;
- CVE-2026-108052: Codigo en ‘/CategoriasFicheros/Edit/{id}’;
- CVE-2026-108053: Nombre en ‘/CuentasCorrientes/Create’;
- CVE-2026-108054: Nombre en ‘/Familias/Edit/{id}’;
- CVE-2026-108055: Nombre en ‘/Inmuebles/Create’;
- CVE-2026-108056: NombrePF en ‘/Empresas/Create’;
- CVE-2026-108057: Nombre en ‘/PlantillasPdf/Edit/1273129’;
- CVE-2026-108058: Nombre en ‘/PlantillasMail/Edit’;
- CVE-2026-108059: Observaciones en ‘/Terceros/Create’;
- CVE-2026-108060: Nombre en ‘/Trabajadores/Create’.

CVE

Identificador CVE	Severidad	Explotación	Fabricante
CVE-2026-108047	Alta	No	AM System
CVE-2026-108046	Media	No	AM System
CVE-2026-108048	Media	No	AM System
CVE-2026-108049	Media	No	AM System
CVE-2026-108050	Media	No	AM System
CVE-2026-108051	Media	No	AM System
CVE-2026-108052	Media	No	AM System
CVE-2026-108053	Media	No	AM System
CVE-2026-108054	Media	No	AM System
CVE-2026-108055	Media	No	AM System
CVE-2026-108056	Media	No	AM System
CVE-2026-108057	Media	No	AM System
CVE-2026-108058	Media	No	AM System
CVE-2026-108059	Media	No	AM System
CVE-2026-108060	Media	No	AM System

Listado de referencias

ALO Suite

AM System

Etiquetas