Veille sécuritéBackend & données
P3Élevée
La plateforme SaaS Coupa Supplier Portal présente une SSRF dans la conversion de documents DOCX en PDF avec la bibliothèque Aspose.Words for Java. Un utilisateur authentifié autorisé à modifier des modèles peut provoquer l’accès du serveur à des ressources externes, internes ou locales et potentiellement divulguer des informations sensibles.
Java
IdentifiantCVE-2026-111036
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111036
Analyse technique
La vulnérabilité concerne la validation insuffisante des références à des ressources externes traitées pendant la conversion DOCX-vers-PDF dans la section Contracts > Templates.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04T10:17:24.770Z, dans la période demandée.
ImpactAccès par le serveur à des URL contrôlées par l’attaquant, au réseau interne ou à des fichiers locaux, avec risque de divulgation d’informations sensibles.
Versions affectéesCoupa Supplier Portal SaaS; versions affectées non précisées
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.4
EPSS0,41% · percentile 35,8%
Publication2026-11-04T10:17:24.770Z
Mise à jour2026-11-04T14:11:57.473Z
Action recommandée
Limiter les droits de modification des modèles et appliquer le correctif éditeur dès qu’il est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).