Múltiples vulnerabilidades en la aplicación de SABBATIC

Se ha coor­di­na­do la di­vul­ga­ción de cinco fa­llos de se­gu­ri­dad de gra­ve­dad media que im­pac­tan al pro­gra­ma SABBATIC, el cual se uti­li­za para di­gi­ta­li­zar fac­tu­ras y tic­kets de gasto. Los ha­llaz­gos de estas vul­ne­ra­bi­li­da­des co­rres­pon­den a David Pa­di­lla Al­va­ra­do y a Víc­tor Ma­nuel Pérez Cá­ma­ra, bajo la coor­di­na­ción de INCIBE.

Los pro­ble­mas de­tec­ta­dos in­clu­yen fa­llos del tipo Cross-Site Scrip­ting al­ma­ce­na­do, aso­cia­dos a di­ver­sos pa­rá­me­tros y pun­tos fi­na­les de la pla­ta­for­ma, los cua­les po­si­bi­li­tan que se guar­de có­di­go Ja­vaS­cript capaz de eje­cu­tar­se en el na­ve­ga­dor de una víc­ti­ma al vi­sua­li­zar el sitio. Asi­mis­mo, se iden­ti­fi­có una falla de tipo Cross-Site Re­quest For­gery que po­si­bi­li­ta el envío de so­li­ci­tu­des sin au­to­ri­za­ción me­dian­te el en­ga­ño a usua­rios con se­sión ini­cia­da.

Las fa­llas re­por­ta­das re­ci­bie­ron ca­li­fi­ca­cio­nes y iden­ti­fi­ca­do­res es­pe­cí­fi­cos, con­tan­do con una pun­tua­ción base de­ter­mi­na­da. Todas estas de­fi­cien­cias de se­gu­ri­dad ya han sido co­rre­gi­das por el per­so­nal res­pon­sa­ble de la apli­ca­ción me­dian­te el lan­za­mien­to de las ac­tua­li­za­cio­nes co­rres­pon­dien­tes.