Vulnerabilidades y Avisos de Seguridad: Inyección SQL en Profleet de TSG

Resumen de la alerta

INCIBE-CERT ha publicado una alerta sobre una vulnerabilidad crítica de inyección SQL en TSG Profleet versión 12.004.01, una solución de TSG orientada al abastecimiento de combustible para flotas comerciales e industriales.

La vulnerabilidad está identificada como CVE-2026-111472 y cuenta con una puntuación CVSS v4.0 de 9.3. El vector asociado es CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, lo que refleja un impacto potencial elevado sobre la confidencialidad, la integridad y la disponibilidad de la información vulnerable.

Según la información publicada, no existe una solución reportada por el fabricante en el momento del aviso. El estado de explotación indicado es No, por lo que no se han comunicado explotaciones confirmadas de esta vulnerabilidad.

Recursos afectados

• TSG Profleet versión 12.004.01.

Descripción de la vulnerabilidad

La vulnerabilidad CVE-2026-111472 corresponde a una inyección SQL, clasificada como CWE-89. Este tipo de fallo se produce cuando una aplicación procesa datos proporcionados por un usuario de una forma que puede permitir alterar las consultas enviadas a la base de datos.

En este caso, el problema se localiza en el parámetro ‘Identificación’ del endpoint ‘/cgi-bin/index.php’. De acuerdo con INCIBE-CERT, un atacante podría intentar explotar la vulnerabilidad mediante una petición GET manipulada dirigida a ese componente.

La puntuación CVSS indica que el vector de ataque es de red (AV:N), que la complejidad es baja (AC:L), que no se requiere autenticación ni privilegios previos (PR:N) y que no necesita interacción del usuario (UI:N). Estos elementos deben considerarse al priorizar la revisión de instalaciones afectadas que puedan ser accesibles por red.

Impacto y nivel de riesgo

Si la vulnerabilidad fuese explotada con éxito, podría permitir recuperar, crear, actualizar y borrar información en la base de datos de Profleet. Por tanto, el impacto potencial comprende la exposición de datos, la modificación no autorizada de registros y la eliminación de información almacenada.

La vulnerabilidad ha sido catalogada como crítica, con una puntuación CVSS v4.0 de 9.3. Esta valoración se debe al posible efecto alto sobre la confidencialidad, la integridad y la disponibilidad de los datos afectados.

No obstante, la existencia de una vulnerabilidad no implica por sí misma que haya sido utilizada en ataques. La información disponible señala “Explotación: No”, por lo que no hay constancia de explotación confirmada en el aviso publicado.

Solución y medidas recomendadas

No hay solución reportada por el momento. El aviso no informa de parches, versiones corregidas ni mitigaciones oficiales para TSG Profleet versión 12.004.01.

Mientras se dispone de información adicional o de una solución del proveedor, las organizaciones afectadas pueden aplicar medidas preventivas generales relacionadas con la exposición de aplicaciones vulnerables. Estas actuaciones no sustituyen una corrección oficial de la vulnerabilidad.

Recomendaciones para organizaciones afectadas

• Identificar las instalaciones de TSG Profleet versión 12.004.01 presentes en la organización y determinar si son accesibles mediante red.
• Revisar la exposición del endpoint ‘/cgi-bin/index.php’, prestando especial atención al tratamiento del parámetro ‘Identificación’.
• Limitar el acceso a la aplicación a los usuarios, redes y sistemas estrictamente necesarios, cuando la arquitectura del entorno lo permita.
• Supervisar los registros disponibles de la aplicación, los sistemas intermedios y la base de datos para detectar solicitudes anómalas o modificaciones inesperadas relacionadas con el componente afectado.
• Mantener seguimiento de las comunicaciones de TSG e INCIBE-CERT para conocer la disponibilidad de una solución oficial o información adicional sobre la vulnerabilidad.