Inyección SQL en Profleet de TSG
Se ha dado a conocer una falla de seguridad de gravedad crítica en la herramienta Profleet, desarrollada por la compañía TSG para la gestión y suministro de combustible en flotas de tipo comercial e industrial. El hallazgo de este problema fue realizado por Rubén Barrios, mientras que la difusión y coordinación del mismo estuvo a cargo de INCIBE. El fallo afecta específicamente a la versión 12.004.01 del software mencionado.
La incidencia ha quedado registrada bajo el identificador CVE-2026-111472, contando con una calificación de severidad de 9.3 basada en el sistema CVSS v4.0 y clasificándose tipológicamente como un problema de tipo CWE-89 por Inyección SQL. Por el momento, el reporte oficial indica que todavía no existe un parche o solución disponible para corregir este inconveniente.
El problema radica en una vía de inyección SQL dentro de la plataforma afectada. Concretamente, un atacante tiene la capacidad de manipular, consultar, modificar o eliminar registros de la base de datos si envía una solicitud HTTP de tipo GET empleando el parámetro correspondiente a la identificación en el punto de acceso expuesto por el sistema.
El artículo original no aporta más detalle sobre posibles mitigaciones temporales o declaraciones adicionales del proveedor.