Ciberseguridad · Aviso

Coupa Total Spend Management Platform (Coupa Supplier Portal) · SSRF, XSS e inyección CSV en el portal de proveedores

INCIBE coordina la publicación de cuatro vulnerabilidades en el portal de proveedores de Coupa; todas exigen autenticación previa y, por ahora, no hay solución reportada.

Publicado 4 noviembre 2026 Lectura 7 min Ref. CVE-2026-111036, CVE-2026-111037, CVE-2026-111038, CVE-2026-111040 CVSS 8.4 (INCIBE (CNA), CVSS v4.0 — corresponde a la vulnerabilidad más grave (CVE-2026-111036, SSRF))

Resumen

INCIBE-CERT ha publicado el 4 de noviembre de 2026 un aviso que recoge cuatro vulnerabilidades en Coupa Total Spend Management Platform, la plataforma de gestión de gastos y compras de Coupa, concretamente en su Coupa Supplier Portal (el portal web para proveedores). Las dos más graves permiten que el servidor haga peticiones a destinos elegidos por el atacante (SSRF) y que datos manipulados se exporten como fórmulas ejecutables en hojas de cálculo. Las cuatro exigen que el atacante disponga de una cuenta válida en la plataforma y, en el momento de publicación, no hay parche reportado ni constancia de explotación activa.

Materias: Vulnerabilidades web, SSRF (Server-Side Request Forgery), Cross-Site Scripting (XSS), Inyección de fórmulas CSV, Software SaaS / nube, Gestión de compras y proveedores, Divulgación coordinada

Las plataformas de gestión de gasto corporativo concentran contratos, licitaciones y datos de miles de proveedores, por lo que un fallo en su portal web no es un asunto menor. El 4 de noviembre de 2026, INCIBE-CERT ha hecho pública —en régimen de divulgación coordinada— una tanda de cuatro vulnerabilidades en Coupa Total Spend Management Platform, descubiertas por el investigador David Sacristán Manzanares. Dos son de severidad alta y dos de severidad media; todas afectan al portal de proveedores (Coupa Supplier Portal) y todas requieren que el atacante ya disponga de una cuenta en el sistema. No consta, por el momento, ni explotación en el mundo real ni una corrección publicada.

Descripción

Qué es Coupa. Coupa es una plataforma SaaS (Software as a Service, es decir, software que se usa a través de internet y que mantiene el propio proveedor, no el cliente en sus servidores) orientada a la gestión integral del gasto empresarial: compras, contratos, facturación y relación con proveedores. El componente afectado es el Coupa Supplier Portal (CSP), el portal donde los proveedores gestionan contratos, licitaciones y plantillas.

A quién afecta. A las organizaciones que utilizan esta plataforma y a los usuarios con cuenta en el portal de proveedores. Conviene subrayar un matiz importante para valorar el riesgo: ninguna de las cuatro vulnerabilidades es explotable por un atacante anónimo desde internet; todas presuponen que quien ataca ya tiene credenciales válidas, con mayor o menor nivel de privilegios según el caso.

Versiones afectadas. Al tratarse de un servicio en la nube, no hay «versiones» que el cliente instale: la corrección se aplica del lado de Coupa. El registro oficial de los CVE expresa el límite de versión afectada mediante fechas (hasta —sin incluir— el 4 de noviembre de 2024 en el caso del SSRF y el 4 de noviembre de 2026 en los otros tres). Esa notación es ambigua y procede del propio registro; en la práctica, lo relevante es confirmar con Coupa qué versión del servicio tiene desplegada su organización y si incorpora ya la corrección.

Las cuatro vulnerabilidades (fuente: registro CVE, CNA INCIBE):

CVE-2026-111036 — SSRF (CWE-918). CVSS v4.0: 8.4 (alta).
CVE-2026-111038 — Inyección de fórmulas en ficheros CSV (CWE-1236). CVSS v4.0: 7.3 (alta).
CVE-2026-111037 — Cross-Site Scripting reflejado (CWE-79). CVSS v4.0: 5.1 (media).
CVE-2026-111040 — Inyección de HTML persistente (CWE-80). CVSS v4.0: 5.1 (media).

Mecánica

CVE-2026-111036: falsificación de peticiones del lado del servidor (SSRF)

El SSRF (Server-Side Request Forgery) es un fallo por el que se engaña al servidor para que realice peticiones de red a destinos que elige el atacante. Aquí se localiza en la conversión de documentos de la sección «Contratos > Plantillas». Cuando la plataforma transforma un documento DOCX a PDF mediante la biblioteca Aspose.Words para Java, valida de forma insuficiente las referencias a recursos externos incluidas en el documento. Un atacante autenticado y con permiso para modificar plantillas puede subir un DOCX manipulado que apunte a URL controladas por él, a recursos de la red interna o a archivos locales del servidor. El resultado posible es la divulgación de información sensible: ficheros de configuración, credenciales, variables de entorno o puntos de acceso (endpoints) de servicios internos. Es la más grave (CVSS 8.4) porque el impacto en confidencialidad es alto y no requiere interacción de la víctima, aunque sí privilegios elevados.

CVE-2026-111038: inyección de fórmulas CSV

Un fichero CSV es un formato de texto que las hojas de cálculo (Excel, LibreOffice…) abren como tabla. La inyección de fórmulas CSV consiste en introducir, en un campo de datos, un valor que empieza por caracteres que la hoja de cálculo interpreta como una fórmula (por ejemplo =, + o @). En la función de exportación de Coupa, ciertos datos que el usuario controla —como nombres de eventos o plantillas del módulo de Licitaciones— no se neutralizan antes de volcarse al CSV. Si una víctima descarga y abre ese fichero en una aplicación compatible, el contenido puede ejecutarse como fórmula y desencadenar acciones no autorizadas, incluida la ejecución de comandos mediante mecanismos como DDE. El ataque es de alta severidad (7.3) pero complejo: necesita que la víctima descargue y abra el fichero.

CVE-2026-111037: Cross-Site Scripting (XSS) reflejado

El XSS (Cross-Site Scripting) permite inyectar código JavaScript que se ejecuta en el navegador de otra persona. En el módulo de Licitaciones, el parámetro list_item_function se refleja en la respuesta del servidor sin codificar ni sanear, incrustándose directamente en un manejador de eventos de JavaScript. Un atacante con una cuenta de pocos privilegios puede fabricar una URL maliciosa; si la víctima la abre, se ejecuta código arbitrario en su navegador, lo que permitiría actuar en su nombre, acceder a información visible para ella o manipular la interfaz. Es «reflejado» porque el código viaja en el enlace y requiere que la víctima pinche en él.

CVE-2026-111040: inyección de HTML persistente

En campos editables gestionados con el editor TinyMCE, un atacante autenticado con pocos privilegios puede introducir contenido HTML sin sanear que se almacena en base de datos y se muestra después en el navegador de otros usuarios. A diferencia del XSS reflejado anterior, aquí el contenido malicioso queda guardado («persistente») y afecta a la visualización del contenido para quienes lo consulten.

Respuesta del creador

INCIBE-CERT ha actuado como coordinador de la divulgación y como CNA (CVE Numbering Authority, entidad autorizada para asignar identificadores CVE), publicando el aviso el 4 de noviembre de 2026 con el identificador INCIBE-2026-836 e importancia «4 - Alta». Las vulnerabilidades fueron descubiertas y reportadas por el investigador David Sacristán Manzanares.

En cuanto al fabricante: en el momento de redactar este aviso no se ha localizado una comunicación pública propia de Coupa sobre estas vulnerabilidades más allá de su participación en el proceso de divulgación coordinada. Tanto el aviso de INCIBE-CERT como los registros oficiales de los cuatro CVE indican expresamente que «no hay solución reportada por el momento».

No consta inclusión en el catálogo CISA KEV (Known Exploited Vulnerabilities, el listado estadounidense de fallos con explotación confirmada) ni ninguna otra evidencia de explotación activa. Al ser hallazgos publicados el mismo día, debe entenderse como ausencia de datos, no como garantía de que no vaya a producirse.

Parches y mitigaciones

Situación actual: no hay parche ni versión corregida reportada públicamente. Por tratarse de una plataforma SaaS, la corrección se aplica del lado de Coupa y no requiere una instalación por parte del cliente; de ahí la importancia de obtener confirmación directa del proveedor.

Qué hacer hoy:

Contactar con Coupa (o con el gestor de cuenta) para confirmar el estado de corrección de estos cuatro CVE y la versión del servicio desplegada en su organización.
Aplicar mínimo privilegio: revisar y restringir quién tiene permisos para modificar plantillas de contratos (clave para el SSRF, CVE-2026-111036) y para crear eventos o plantillas en Licitaciones.
Precaución con las exportaciones CSV: no abrir ficheros exportados de la plataforma directamente en la hoja de cálculo sin verificarlos; configurar el software ofimático para que no ejecute contenido dinámico (por ejemplo, deshabilitar DDE) mitiga la inyección de fórmulas (CVE-2026-111038).
Concienciar a los usuarios sobre no abrir enlaces sospechosos hacia el portal, lo que reduce el riesgo del XSS reflejado (CVE-2026-111037).
Vigilancia: seguir el aviso de INCIBE-CERT y los registros CVE, que se actualizarán cuando se publique solución.

Desde el punto de vista de cumplimiento, si se detectara un acceso o fuga de datos personales asociada a cualquiera de estos fallos, aplicarían las obligaciones del RGPD sobre notificación de brechas (artículos 33 y 34), con el plazo de referencia de 72 horas para comunicar a la autoridad de control.