Múltiples vulnerabilidades en la aplicación de SABBATIC Jue, 29/10/2026 - 17:47
Aviso
Recursos Afectados
SABBATIC.
Descripción
INCIBE ha coordinado la publicación de 5 vulnerabilidades de severidad media, que afectan a la aplicación de SABBATIC, software para la digitalización de tickets de gasto y facturas. Las vulnerabilidades han sido descubiertas por David Padilla Alvarado y Víctor Manuel Pérez Cámara.A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:Desde CVE-2026-5697 hasta CVE-2026-5700: 4.8 | CVSS:4.0/ AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79CVE-2026-5702: CVSS v4.0: 4.8 | CVSS AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-352
Identificador
INCIBE-2026-809
Solución
Las vulnerabilidades han sido solucionadas por el equipo de SABBATIC en las versiones 7.96.0.1 y 7.96.0.2
Detalle
Vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenada en la aplicación SABBATIC que permite a un atacante almacenar código JavaScript de tal forma que, cuando un usuario visita la página, dicho código se ejecute en el navegador de la víctima. La relación de parámetros e identificadores asignados es la siguiente:CVE-2026-5697: parámetro 'nombre' en el endpoint '/usuario';CVE-2026-5698: parámetros 'titulo_es' and 'add_etiquetas%5B%5D' en el endpoint '/categorías';CVE-2026-5699: parámetro 'companyName' en el endpoint '/empresa';CVE-2026-5700: parámetro 'observaciones' en el endpoint '/mis-gastos'.CVE-2026-5702: vulnerabilidad Cross-Site Request Forgery (CSRF) en la aplicación SABBATIC que permite a un atacante engañar a un usuario autenticado para que haga click en un enlace malicioso o cargue una página que envía solicitudes no autorizadas a un punto final vulnerable.
3 - Media
Listado de referencias
Página web de SABBATIC
Etiquetas
0day
Actualización
CNA
Vulnerabilidad
+
XSS
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-5697
Media
No
SABBATIC
CVE-2026-5698
Media
No
SABBATIC
CVE-2026-5699
Media
No
SABBATIC
CVE-2026-5700
Media
No
SABBATIC
CVE-2026-5702
Media
No
SABBATIC