El INCIBE ha coordinado con AM System la publicación de 15 vulnerabilidades en ALO Suite, el software de gestión empresarial en la nube.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT ha publicado, en coordinación con el fabricante AM System, quince vulnerabilidades que afectan a ALO Suite, una aplicación de gestión empresarial en la nube.
- ¿Dónde y cuándo? Aviso difundido el martes 3 de noviembre de 2026, a las 10:51 horas, sobre la versión 25_09_15.03_35 del producto.
- ¿Qué resultado? Una vulnerabilidad de severidad alta y catorce de severidad media, corregidas en la versión 26_04_15.03_10, de abril de 2026.
El aviso, difundido por INCIBE-CERT (el equipo de respuesta a incidentes del Instituto Nacional de Ciberseguridad) el martes 3 de noviembre a las 10:51 horas, queda registrado con el identificador INCIBE-2026-827 y afecta a la versión 25_09_15.03_35 de la aplicación. Una de las quince vulnerabilidades es de severidad alta y las catorce restantes, de severidad media. El descubrimiento corresponde al investigador David Padilla Alvarado.
Quince CVE: de la escalada de privilegios al XSS almacenado
La vulnerabilidad más grave, CVE-2026-108047, obtiene 8.6 sobre 10 en CVSS v4.0 y corresponde a un fallo de autorización inadecuada en la funcionalidad de invitación de usuarios. El endpoint ‘/Requests/userInvitation’ no valida en el servidor la asignación de privilegios, de modo que un atacante puede interceptar una invitación legítima, manipular sus parámetros y crear un usuario con permisos de administrador. Una explotación satisfactoria entrega el control administrativo completo de la aplicación.
El segundo fallo, CVE-2026-108046, con 6.9, es una referencia directa a objetos inseguros (IDOR) sobre el endpoint ‘/Companies/Edit/{id}’. Al modificar el identificador, un atacante remoto no autenticado puede enumerar registros válidos y recuperar información asociada a otras empresas o usuarios.
Dos registros más completan el bloque de riesgo medio-alto. CVE-2026-108048 (6.9) responde a la ausencia de limitación de solicitudes en la recuperación de contraseña: el endpoint ‘/Account/resetPwd’ permite generar correos de restablecimiento sin límite y consumir recursos de la infraestructura de correo. CVE-2026-108049 (5.1) es un clickjacking sobre la pantalla de inicio de sesión, que puede incrustarse en una web maliciosa al no aplicar cabeceras X-Frame-Options ni una directiva frame-ancestors.
La coordinación entre INCIBE y AM System ha permitido cerrar quince fallos en un software de gestión usado por empresas antes de que existiera explotación conocida.
El resto de la relación lo componen once CVE (CVE-2026-108050 a CVE-2026-108060) de Cross-Site Scripting (XSS almacenado) en la gestión de albaranes, todos con 5.1 de puntuación base. Los campos afectados abarcan desde el nombre de artículos, familias, inmuebles, cuentas corrientes y trabajadores hasta las observaciones de terceros o las plantillas de PDF y de correo. La explotación exige acceso autenticado, pero el código inyectado se ejecuta en el navegador de otros usuarios al visualizar los registros contaminados.
Ninguno de los quince registros figura como explotado. El aviso de INCIBE-CERT no constata ataques en curso ni indica indicios de uso malicioso en entornos productivos, lo que sitúa el episodio en el terreno de la divulgación coordinada y no en el de la respuesta a incidentes.
La corrección llegó en abril y el aviso, en noviembre
El fabricante corrigió los fallos en la versión 26_04_15.03_10 de ALO Suite, publicada en abril de 2026, según recoge el propio aviso. La recomendación de INCIBE es directa: actualizar a esa versión y descartar la 25_09_15.03_35. AM System actúa como CNA (Autoridad de Numeración CVE) de su propio producto y ha colaborado en la asignación de los quince códigos.
La divulgación coordinada implica que el fabricante dispone de margen previo para corregir antes de que el detalle técnico sea público. El aviso detalla endpoints, parámetros y vectores de ataque, un nivel de información que solo se publica cuando la actualización ya está disponible. La ficha oficial de INCIBE-CERT mantiene abierto el seguimiento del caso.
El panorama de la ciberseguridad
El software de gestión empresarial en la nube concentra datos de facturación, clientes, proveedores y nóminas, lo que lo convierte en un objetivo de alto valor para el cibercrimen. Los fallos lógicos —control de acceso, autorización e inyección de código en el navegador— son la tipología dominante en las aplicaciones SaaS, por delante de los errores de configuración de infraestructura.
El patrón de esta publicación es revelador. Once de las quince vulnerabilidades son XSS almacenado y las cuatro restantes se reparten entre control de acceso, escalada de privilegios, limitación de solicitudes y clickjacking. El XSS (CWE-79) es una de las categorías más recurrentes en los catálogos públicos de vulnerabilidades, y su concentración en un único módulo apunta a una carencia sistémica de validación de entradas más que a un error aislado. El dato de eficacia lo aporta el propio canal de alerta temprana del INCIBE-CERT: quince CVE publicados de forma simultánea, con la corrección ya disponible y sin explotación registrada, es el resultado de un modelo que prioriza el cierre del fallo antes de la difusión del detalle técnico.
La proyección inmediata pasa por la verificación de instalaciones. Las organizaciones que sigan sobre la rama 25_09_15.03_35 deben actualizar y revisar los registros de acceso a los endpoints señalados, en particular ‘/Requests/userInvitation’ y ‘/Companies/Edit/{id}’, donde se concentran los fallos de mayor severidad. El INCIBE-CERT actualizará el aviso si aparecen indicios de explotación, y el canal de alerta temprana mantiene abierta la ficha INCIBE-2026-827 para las empresas afectadas.
