Múltiples vulnerabilidades en MatchPoint de TPC Software

Múl­ti­ples vul­ne­ra­bi­li­da­des en Match­Point de TPC Soft­wa­re Jue, 05/11/2026 - 10:16 Aviso Re­cur­sos Afec­ta­dos Pla­ta­for­ma Match­Point. Des­crip­ción INCIBE ha coor­di­na­do la co­mu­ni­ca­ción de siete vul­ne­ra­bi­li­da­des: 3 de se­ve­ri­dad crí­ti­ca, 2 altas y 2 me­dias en Match­Point de TPC Soft­wa­re, una pla­ta­for­ma de ges­tión de cen­tros de­por­ti­vos. Los ha­llaz­gos han sido re­por­ta­dos por Sergi Gar­cía Tá­rra­ga. A estas vul­ne­ra­bi­li­da­des se les han asig­na­do los si­guien­tes có­di­gos, pun­tua­ción base CVSS v4.0, vec­tor del CVSS y tipo de vul­ne­ra­bi­li­dad CWE: CVE-2026-111489: CVSS v4.0: 9.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N | CWE-798 CVE-2026-111490: CVSS v4.0: 9.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N | CWE-639 CVE-2026-111491: CVSS v4.0: 6.9 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-256 CVE-2026-111492: CVSS v4.0: 8.6 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89 CVE-2026-111493: CVSS v4.0: 8.7 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-306 CVE-2026-111494: CVSS v4.0: 9.1 | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N | CWE-295 CVE-2026-111495: CVSS v4.0: 5.1 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-200 Iden­ti­fi­ca­dor INCIBE-2026-841 So­lu­ción El fa­bri­can­te co­mu­ni­ca las si­guien­tes me­di­das. Las co­rrec­cio­nes de ser­vi­dor de CVE-2026-111490 y CVE-2026-111493 ya están des­ple­ga­das y se apli­can con in­de­pen­den­cia de la ver­sión de la app. Para so­lu­cio­nar el resto de vul­ne­ra­bi­li­da­des se re­co­mien­da ins­ta­lar la úl­ti­ma ver­sión dis­po­ni­ble. De­ta­lle CVE-2026-111489: se ha re­por­ta­do una cre­den­cial es­tá­ti­ca in­crus­ta­da en la apli­ca­ción móvil que de­vuel­ve el token ‘ au­to­ri­za­do ’ en la pla­ta­for­ma Match­Point. El in­for­me atri­bu­ye a este token ac­ce­so no au­ten­ti­ca­do a los ser­vi­cios de la API. CVE-2026-111490: vul­ne­ra­bi­li­dad de re­fe­ren­cia di­rec­ta in­se­gu­ra a ob­je­tos (IDOR) en la API de Match­Point, que con­fía en el en­ca­be­za­do HTTP ac­tin­ga­su­ser sin com­pro­bar la au­to­ri­za­ción del so­li­ci­tan­te sobre el usua­rio in­di­ca­do. La ma­ni­pu­la­ción de iden­ti­fi­ca­do­res se­cuen­cia­les per­mi­te ac­ce­der a datos per­so­na­les, ban­ca­rios, fi­nan­cie­ros, men­sa­jes pri­va­dos y có­di­gos QR de ac­ce­so fí­si­co, así como mo­di­fi­car cuen­tas de ter­ce­ros, cam­biar con­tra­se­ñas, su­plan­tar iden­ti­da­des y trans­fe­rir sal­dos vir­tua­les. CVE-2026-111491: al­ma­ce­na­mien­to de cre­den­cia­les en texto plano en una base de datos SQ­Li­te y en Sha­red­Pre­fe­ren­ces de la apli­ca­ción An­dro­id de Match­Point. Un ata­can­te con ac­ce­so a los datos lo­ca­les del dis­po­si­ti­vo o a una copia de se­gu­ri­dad po­dría re­cu­pe­rar nom­bres de usua­rio y con­tra­se­ñas y uti­li­zar­los para ac­ce­der sin au­to­ri­za­ción a las cuen­tas de la pla­ta­for­ma. CVE-2026-111492: in­yec­ción SQL en el ges­tor de no­ti­fi­ca­cio­nes push de la apli­ca­ción An­dro­id de Match­Point, que pro­ce­sa men­sa­jes de Fi­re­ba­se Cloud Mes­sa­ging y cons­tru­ye con­sul­tas me­dian­te con­ca­te­na­ción de datos no con­fia­bles. Un ata­can­te con ca­pa­ci­dad para in­ter­ac­tuar con el com­po­nen­te po­dría ma­ni­pu­lar con­sul­tas y ac­ce­der a in­for­ma­ción sen­si­ble de la base de datos local, in­clui­das las cre­den­cia­les al­ma­ce­na­das en las ver­sio­nes des­cri­tas en el in­for­me. El al­can­ce de la in­yec­ción es local al dis­po­si­ti­vo. CVE-2026-111493: au­sen­cia de au­ten­ti­ca­ción y au­to­ri­za­ción en el end­point Ima­ges.ashx en Match­Point, que per­mi­te des­car­gar fo­to­gra­fías de per­fil me­dian­te iden­ti­fi­ca­do­res pre­de­ci­bles. Un ata­can­te re­mo­to no au­ten­ti­ca­do po­dría enu­me­rar esos iden­ti­fi­ca­do­res y re­co­pi­lar fo­to­gra­fías de los usua­rios. Su aso­cia­ción con iden­ti­da­des puede verse fa­ci­li­ta­da por otras vul­ne­ra­bi­li­da­des de la pla­ta­for­ma. CVE-2026-111494: va­li­da­ción in­co­rrec­ta de cer­ti­fi­ca­dos TLS en la apli­ca­ción An­dro­id de Match­Point de­bi­do a un Trust­Ma­na­ger que acep­ta cual­quier cer­ti­fi­ca­do y a un ve­ri­fi­ca­dor de nom­bres de host per­mi­si­vo. Ade­más, la apli­ca­ción per­mi­te trá­fi­co HTTP sin ci­frar.