Vulnerabilidades y Avisos de Seguridad: Inyección SQL (SQLi) en el módulo de autenticación de usuarios de Futurum Software

Resumen de la alerta

INCIBE-CERT ha informado de una vulnerabilidad crítica en el módulo de autenticación de usuarios de Futurum Software, una plataforma de gestión empresarial en la nube orientada a la creación y administración de negocios de marketing multinivel.

El fallo está identificado como CVE-2026-14571 y corresponde a una vulnerabilidad de Blind SQL Injection o inyección SQL ciega. Ha recibido una puntuación de 9.1 sobre 10 en CVSS v4.0, con el vector CVSS AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L. La debilidad se clasifica como CWE-89, categoría asociada a la neutralización inadecuada de elementos en consultas SQL.

La fuente indica que la vulnerabilidad ya ha sido corregida en el módulo afectado. Asimismo, el estado publicado de explotación es No, por lo que no se informa de explotación activa o confirmada de esta vulnerabilidad.

Recursos afectados

El recurso afectado es el módulo de autenticación de usuarios de la plataforma de gestión comercial de Futurum Software.

El aviso no detalla versiones vulnerables ni versiones concretas en las que se haya aplicado la corrección.

Descripción de la vulnerabilidad

CVE-2026-14571 es una vulnerabilidad de inyección SQL ciega localizada en el área privada del software de gestión de Futurum Software. El origen del problema se encuentra en una validación y saneamiento insuficientes de los datos introducidos por el usuario antes de incorporarlos a consultas contra la base de datos.

Según la información publicada, la debilidad se ve agravada por una configuración incorrecta del WAF. Esto permitiría eludir los mecanismos de protección mediante el envío de peticiones HTTP manipuladas.

Una inyección SQL ocurre cuando una aplicación procesa datos controlados por un usuario de forma insegura dentro de una consulta a la base de datos. En el caso de una Blind SQL Injection, el atacante puede inferir información a partir de las respuestas de la aplicación, aunque esta no muestre directamente el resultado completo de las consultas ejecutadas.

Impacto y nivel de riesgo

INCIBE-CERT clasifica el fallo como crítico. El vector CVSS publicado indica que un atacante podría intentar explotarlo remotamente a través de la red, sin requerir privilegios previos ni interacción de un usuario.

Si la explotación tuviera éxito, un atacante no autenticado podría ejecutar consultas arbitrarias contra la base de datos, obtener información sobre su estructura y acceder a información sensible de clientes, incluidos datos de carácter personal o Personally Identifiable Information (PII).

El posible impacto incluye una afectación elevada de la confidencialidad, así como impactos limitados sobre integridad y disponibilidad, de acuerdo con la puntuación CVSS v4.0 publicada. También se contempla impacto sobre sistemas o activos posteriores.

No obstante, la publicación de INCIBE-CERT indica “Explotación: No”. Por tanto, existe un riesgo potencial relevante por la naturaleza y severidad de la vulnerabilidad, pero no se debe interpretar que haya ataques activos o una explotación confirmada aprovechando este fallo.

Solución y medidas recomendadas

La vulnerabilidad ya ha sido corregida en el módulo de autenticación de usuarios de Futurum Software. Las organizaciones que utilicen la plataforma deben verificar con el proveedor que su entorno incorpora la corrección disponible.

Como medidas complementarias, que no sustituyen la corrección del fabricante, resulta prudente:

• Identificar las instancias de Futurum Software que utilicen el módulo de autenticación afectado.
• Priorizar la aplicación de la corrección proporcionada por el proveedor, dada la criticidad asignada al CVE.
• Revisar los registros disponibles del componente web, WAF y aplicación para detectar peticiones HTTP anómalas dirigidas al área privada.
• Comprobar que los mecanismos de protección perimetral y el WAF se encuentran correctamente configurados y supervisados.
• Evaluar la exposición de datos personales de clientes y aplicar los procedimientos internos de respuesta ante incidentes si se identifican indicios de acceso no autorizado.

Datos técnicos de referencia

• Identificador INCIBE: INCIBE-2026-802
• CVE: CVE-2026-14571
• Fabricante: FUTURUM SOFTWARE
• Severidad: Crítica
• CVSS v4.0: 9.1
• Vector CVSS: AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L
• CWE: CWE-89
• Estado de explotación publicado: No