Mecanismo deficiente de recuperación de contraseñas olvidadas en MobiAPParc

Me­ca­nis­mo de­fi­cien­te de re­cu­pe­ra­ción de con­tra­se­ñas ol­vi­da­das en Mo­biAP­Parc Jue, 17/09/2026 - 14:13 Aviso Re­cur­sos Afec­ta­dos IOS Mo­biAP­Parc v0 - v2.28; An­dro­id Mo­biAP­Parc v0 - v2.42. Des­crip­ción INCIBE ha coor­di­na­do la pu­bli­ca­ción de una vul­ne­ra­bi­li­dad de se­ve­ri­dad alta que afec­ta a Mo­biAP­Parc de SMAP, apli­ca­ción que per­mi­te pagar el es­ta­cio­na­mien­to en las zonas de apar­ca­mien­to re­gu­la­do y en los apar­ca­mien­tos mu­ni­ci­pa­les ges­tio­na­dos por el Ayun­ta­mien­to de Palma. La vul­ne­ra­bi­li­dad ha sido des­cu­bier­ta por Llo­renç Romá. A esta vul­ne­ra­bi­li­dad se le ha asig­na­do el si­guien­te có­di­go, pun­tua­ción base CVSS v4.0, vec­tor del CVSS y el tipo de vul­ne­ra­bi­li­dad CWE: CVE-2026-14850: CVSS v4.0: 8.8 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:H | CWE-640 Iden­ti­fi­ca­dor INCIBE-2026-640 So­lu­ción La vul­ne­ra­bi­li­dad ha sido so­lu­cio­na­da por el equi­po de SMAP en la úl­ti­ma ver­sión de la apli­ca­ción. De­ta­lle CVE-2026-14850: la fun­ción de res­ta­ble­ci­mien­to de con­tra­se­ña es vul­ne­ra­ble a la mo­di­fi­ca­ción no au­to­ri­za­da de cuen­tas de­bi­do a una va­li­da­ción in­co­rrec­ta del pa­rá­me­tro user_id . Un ata­can­te puede ma­ni­pu­lar este iden­ti­fi­ca­dor nu­mé­ri­co pre­de­ci­ble para res­ta­ble­cer las con­tra­se­ñas de usua­rios ar­bi­tra­rios sin ne­ce­si­dad de de­mos­trar que es el ti­tu­lar de la cuen­ta. 4 - Alta Lis­ta­do de re­fe­ren­cias Apar­ca­mien­tos pú­bli­cos de ges­tión mu­ni­ci­pal -- SMAP -- Eti­que­tas 0day Ata­que de Fuer­za Bruta Au­ten­ti­ca­ción Aviso + CNA Con­tra­se­ña Con­trol de ac­ce­so Ex­plo­ta­ción de Vul­ne­ra­bi­li­da­des de soft­wa­re - CVE Iden­ti­fi­ca­dor CVE Se­ve­ri­dad Ex­plo­ta­ción Fa­bri­can­te CVE-2026-14850 Alta No SMAP…