Autorización incorrecta en Biloop de Adiss
Biloop, versión 6.1.1.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a Biloop de Adiss, plataforma y portal digital de cliente diseñado para despachos profesionales, asesorías y sus clientes. La vulnerabilidad ha sido descubierta por Jean-Michel Junod.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-12686: CVSS v4.0: 9.3 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:N | CWE-639
La vulnerabilidad ya se encuentra resuelta, por lo que se recomienda actualizar a la última versión disponible.
CVE-2026-12686: un usuario autenticado podría manipular un parámetro de identificador de empresa en una solicitud POST del backend para obtener acceso no autorizado a otras empresas alojadas en el mismo entorno de subdominio. La aplicación no comprueba adecuadamente si el identificador de empresa solicitado pertenece a la sesión del usuario autenticado, lo que da lugar a una omisión de la autorización entre inquilinos. Si se aprovecha con éxito esta vulnerabilidad, se permite el acceso no autorizado a información confidencial de los clientes, incluidos los datos de facturación, y puede permitir la modificación no autorizada de datos de terceros.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-12686 | Crítica | No | Adiss |
