Múltiples vulnerabilidades en Cloud BI Platform de Sisense

Se han iden­ti­fi­ca­do dos fa­llos de se­gu­ri­dad con­si­de­ra­dos de gra­ve­dad alta que im­pac­tan en la pla­ta­for­ma de in­te­li­gen­cia de ne­go­cios y aná­li­sis de datos en la nube de Si­sen­se. Estos pro­ble­mas fue­ron ha­lla­dos por Mi­guel Ji­mé­nez Cá­ma­ra y su di­vul­ga­ción ha sido coor­di­na­da por INCIBE.

Los fa­llos de se­gu­ri­dad se agru­pan bajo los có­di­gos com­pren­di­dos entre el CVE-2026-117493 y el CVE-2026-117494, ob­te­nien­do una pun­tua­ción base de 8.3 según la es­ca­la CVSS v4.0 y cla­si­fi­cán­do­se como vul­ne­ra­bi­li­da­des de tipo CWE-79. En la ac­tua­li­dad, no se cuen­ta con un par­che o so­lu­ción dis­po­ni­ble para re­sol­ver estas in­ci­den­cias.

El pri­me­ro de los fa­llos, iden­ti­fi­ca­do como CVE-2026-117493, con­sis­te en un pro­ble­ma de Cross-Site Scrip­ting (XSS) al­ma­ce­na­do en los wid­gets BloX, donde la in­ter­faz de pro­gra­ma­ción de apli­ca­cio­nes per­mi­te in­tro­du­cir có­di­go de mar­ca­do y de pro­gra­ma­ción que se eje­cu­ta en el na­ve­ga­dor del usua­rio. El se­gun­do fallo, re­gis­tra­do como CVE-2026-117494, co­rres­pon­de a un XSS vin­cu­la­do al tra­ta­mien­to de ar­chi­vos de ima­gen SVG ges­tio­na­dos a tra­vés de la in­ter­faz de la apli­ca­ción, lo que fa­ci­li­ta la eje­cu­ción de có­di­go no au­to­ri­za­do me­dian­te eti­que­tas in­crus­ta­das al mos­trar el con­te­ni­do en la ven­ta­na del asis­ten­te.