Siete nuevos avisos de seguridad

• CVE-2026-111036: vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en la plataforma SaaS Coupa Supplier Portal, concretamente en la funcionalidad de conversión de documentos disponible en la sección «Contratos > Plantillas». La vulnerabilidad se debe a una validación insuficiente de las referencias a recursos externos procesadas por la biblioteca Aspose.Words para Java durante la conversión de DOCX a PDF. Un atacante autenticado con permisos para modificar plantillas puede cargar un documento DOCX especialmente diseñado que contenga referencias a recursos externos, lo que provocaría que la aplicación del lado del servidor accediera a URL controladas por el atacante, a recursos de la red interna o a archivos locales. Una explotación exitosa podría permitir la divulgación de información confidencial, como archivos de configuración, archivos del sistema, credenciales, variables de entorno y endpoints de servicios internos.
• CVE-2026-111037: vulnerabilidad Cross-Site Scripting (XSS) reflejada en el módulo Licitaciones de la plataforma SaaS Coupa Supplier Portal. La vulnerabilidad se produce porque el parámetro list_item_function se refleja en la respuesta del servidor sin la codificación ni la sanitización adecuadas de la salida, y se incrusta directamente en el contexto de un controlador de eventos de JavaScript. Un atacante con una cuenta de privilegios bajos puede crear una URL maliciosa que contenga cargas útiles de JavaScript que, al ser abierta por una víctima, ejecuten scripts arbitrarios dentro del contexto del navegador de la víctima. Una explotación exitosa podría permitir la realización de acciones en nombre de la víctima, la divulgación de información accesible o la manipulación de la interfaz de usuario.
• CVE-2026-111038: vulnerabilidad de inyección de fórmulas CSV en la funcionalidad de exportación de la plataforma SaaS Coupa Supplier Portal. La vulnerabilidad se produce porque determinados datos controlados por usuarios, como nombres de eventos o plantillas dentro del módulo de Licitaciones, no son correctamente validados ni neutralizados antes de ser incluidos en archivos CSV generados por la aplicación. Un atacante con privilegios bajos puede introducir valores especialmente manipulados que comiencen con caracteres interpretados como fórmulas por aplicaciones de hoja de cálculo. Cuando una víctima descarga y abre el archivo generado en un cliente compatible, el contenido puede ser interpretado como una fórmula, pudiendo provocar acciones no autorizadas como ejecución de comandos mediante mecanismos como DDE, acceso a información o interacción con recursos del sistema bajo el contexto de la víctima.
• CVE-2026-111040: La plataforma permite la inyección de HTML persistente en campos editables gestionados mediante TinyMCE. Un atacante autenticado con privilegios bajos puede introducir contenido HTML no sanitizado que se almacena en base de datos y se renderiza posteriormente en el navegador de otros usuarios, afectando a la visualización del contenido en la aplicación.

• CVE-2026-95731: contraseñas incorporadas en la interfaz de línea de comandos permiten a un atacante remoto sin autenticar obtener acceso administrativo. 
• CVE-2026-95732: una evasión de autenticación en el sistema operativo subyacente permite ejecutar código arbitrario a un atacante sin autenticar situado en una red adyacente. 
• CVE-2026-95733: el uso de credenciales incorporadas en un componente permite ejecutar código arbitrario a un atacante sin autenticar desde una red adyacente. 

• CVE-2026-28336: una inyección de comandos permite a un atacante autenticado comprometer el equipo controlado remotamente. 
• CVE-2026-111497: un desbordamiento en el decodificador Brotli permite corromper memoria mediante datos comprimidos manipulados. Podría provocar exposición de información, denegación de servicio o ejecución de código. 

CVE-2026-22058: una ruta alternativa permite eludir la autenticación y efectuar peticiones no autorizadas. La explotación requiere conocimientos específicos de StorageGRID y comunicación con determinados puertos de la Grid Network. 

CVE-2026-109593: un fallo en la aplicación de las restricciones de seguridad permite a un atacante sin autenticar, con acceso de red a GMS, leer archivos internos y obtener información sensible. 

CVE-2026-98432: determinadas estructuras de opciones IPv4 pueden liberarse mientras otro procesador todavía las utiliza al construir respuestas TCP SYN-ACK o gestionar conexiones pendientes. Esta condición permite acceder a memoria liberada y podría provocar corrupción de memoria o ejecución de código.

CVE-2026-111497: un valor de retorno no comprobado en el decodificador Brotli permite que un flujo comprimido manipulado provoque una escritura fuera de límites. Un atacante sin autenticar podría corromper memoria, divulgar información, interrumpir el servicio o ejecutar código.