Múltiples vulnerabilidades en Coupa Total Spend Management Platform de Coupa

Se han re­por­ta­do cua­tro fa­llos de se­gu­ri­dad en la pla­ta­for­ma Coupa Total Spend Ma­na­ge­ment Plat­form, dos de ellos ca­li­fi­ca­dos con un nivel de gra­ve­dad alto y los otros dos con un nivel medio. Estos pro­ble­mas fue­ron dados a co­no­cer tras la coor­di­na­ción de IN­Cí­BE y ha­lla­dos por David Sa­cris­tán Man­za­na­res, sin que hasta el mo­men­to se haya anun­cia­do una so­lu­ción ofi­cial para re­me­diar­los.

Entre las fa­llas se en­cuen­tra un pro­ble­ma de fal­si­fi­ca­ción de so­li­ci­tu­des del lado del ser­vi­dor de­bi­do a una va­li­da­ción de­fi­cien­te de re­cur­sos ex­ter­nos du­ran­te la con­ver­sión de do­cu­men­tos en la sec­ción de con­tra­tos, lo que po­dría ex­po­ner datos con­fi­den­cia­les. Asi­mis­mo, se iden­ti­fi­có una vul­ne­ra­bi­li­dad de Cross-Site Scrip­ting re­fle­ja­do en el mó­du­lo de li­ci­ta­cio­nes y un fallo de in­yec­ción de fór­mu­las CSV en las fun­cio­nes de ex­por­ta­ción de la misma área.

El lis­ta­do de vul­ne­ra­bi­li­da­des se com­ple­ta con un pro­ble­ma de in­yec­ción de HTML per­sis­ten­te den­tro de cam­pos edi­ta­bles ope­ra­dos por TinyM­CE, el cual per­mi­te que con­te­ni­do no sa­ni­ti­za­do se guar­de y se mues­tre a otros usua­rios en el na­ve­ga­dor. Cada uno de estos fa­llos cuen­ta con su res­pec­ti­va iden­ti­fi­ca­ción y pun­tua­ción ba­sa­da en el sis­te­ma CVSS v4.0 den­tro del re­por­te ori­gi­nal.