Múltiples vulnerabilidades en Coupa Total Spend Management Platform de Coupa

Fecha de publicación 04/11/2026

Identificador

INCIBE-2026-836

Importancia

4 - Alta

Recursos Afectados

Coupa Total Spend Management Platform.

Descripción

INCIBE ha coordinado la publicación de cuatro vulnerabilidades, dos de severidad alta y dos de severidad media, que afectan a Coupa Total Spend Management Platform de Coupa. Las vulnerabilidades han sido descubiertas por David Sacristán Manzanares.

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuaciones base CVSS v4.0, vectores del CVSS y tipos de vulnerabilidad CWE:

CVE-2026-111036: CVSS v4.0: 8.4 | CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L | CWE-918
CVE-2026-111037: CVSS v4.0: 5.1 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
CVE-2026-111038: CVSS v4.0: 7.3 | CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-1236
CVE-2026-111040: CVSS v4.0: 5.1 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-80

Solución

No hay solución reportada por el momento.

Detalle

CVE-2026-111036: vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en la plataforma SaaS Coupa Supplier Portal, concretamente en la funcionalidad de conversión de documentos disponible en la sección «Contratos > Plantillas». La vulnerabilidad se debe a una validación insuficiente de las referencias a recursos externos procesadas por la biblioteca Aspose.Words para Java durante la conversión de DOCX a PDF. Un atacante autenticado con permisos para modificar plantillas puede cargar un documento DOCX especialmente diseñado que contenga referencias a recursos externos, lo que provocaría que la aplicación del lado del servidor accediera a URL controladas por el atacante, a recursos de la red interna o a archivos locales. Una explotación exitosa podría permitir la divulgación de información confidencial, como archivos de configuración, archivos del sistema, credenciales, variables de entorno y endpoints de servicios internos.
CVE-2026-111037: vulnerabilidad Cross-Site Scripting (XSS) reflejada en el módulo Licitaciones de la plataforma SaaS Coupa Supplier Portal. La vulnerabilidad se produce porque el parámetro list_item_function se refleja en la respuesta del servidor sin la codificación ni la sanitización adecuadas de la salida, y se incrusta directamente en el contexto de un controlador de eventos de JavaScript. Un atacante con una cuenta de privilegios bajos puede crear una URL maliciosa que contenga cargas útiles de JavaScript que, al ser abierta por una víctima, ejecuten scripts arbitrarios dentro del contexto del navegador de la víctima. Una explotación exitosa podría permitir la realización de acciones en nombre de la víctima, la divulgación de información accesible o la manipulación de la interfaz de usuario.
CVE-2026-111038: vulnerabilidad de inyección de fórmulas CSV en la funcionalidad de exportación de la plataforma SaaS Coupa Supplier Portal. La vulnerabilidad se produce porque determinados datos controlados por usuarios, como nombres de eventos o plantillas dentro del módulo de Licitaciones, no son correctamente validados ni neutralizados antes de ser incluidos en archivos CSV generados por la aplicación. Un atacante con privilegios bajos puede introducir valores especialmente manipulados que comiencen con caracteres interpretados como fórmulas por aplicaciones de hoja de cálculo. Cuando una víctima descarga y abre el archivo generado en un cliente compatible, el contenido puede ser interpretado como una fórmula, pudiendo provocar acciones no autorizadas como ejecución de comandos mediante mecanismos como DDE, acceso a información o interacción con recursos del sistema bajo el contexto de la víctima.
CVE-2026-111040: La plataforma permite la inyección de HTML persistente en campos editables gestionados mediante TinyMCE. Un atacante autenticado con privilegios bajos puede introducir contenido HTML no sanitizado que se almacena en base de datos y se renderiza posteriormente en el navegador de otros usuarios, afectando a la visualización del contenido en la aplicación.

CVE