Múltiples vulnerabilidades en la aplicación de SABBATIC

Fecha de publicación 29/10/2026

Identificador

INCIBE-2026-809

Importancia

3 - Media

Recursos Afectados

SABBATIC.

Descripción

INCIBE ha coordinado la publicación de 5 vulnerabilidades de severidad media, que afectan a la aplicación de SABBATIC, software para la digitalización de tickets de gasto y facturas. Las vulnerabilidades han sido descubiertas por David Padilla Alvarado y Víctor Manuel Pérez Cámara.

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:

Desde CVE-2026-5697 hasta CVE-2026-5700: 4.8 | CVSS:4.0/ AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
CVE-2026-5702: CVSS v4.0: 4.8 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-352

Solución

Las vulnerabilidades han sido solucionadas por el equipo de SABBATIC en las versiones 7.96.0.1 y 7.96.0.2

Detalle

Vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenada en la aplicación SABBATIC que permite a un atacante almacenar código JavaScript de tal forma que, cuando un usuario visita la página, dicho código se ejecute en el navegador de la víctima. La relación de parámetros e identificadores asignados es la siguiente:

CVE-2026-5697: parámetro 'nombre' en el endpoint '/usuario';
CVE-2026-5698: parámetros 'titulo_es' and 'add_etiquetas%5B%5D' en el endpoint '/categorías';
CVE-2026-5699: parámetro 'companyName' en el endpoint '/empresa';
CVE-2026-5700: parámetro 'observaciones' en el endpoint '/mis-gastos'.

CVE-2026-5702: vulnerabilidad Cross-Site Request Forgery (CSRF) en la aplicación SABBATIC que permite a un atacante engañar a un usuario autenticado para que haga click en un enlace malicioso o cargue una página que envía solicitudes no autorizadas a un punto final vulnerable.

CVE