Resumen de la alerta

INCIBE-CERT ha comunicado siete vulnerabilidades en MatchPoint, la plataforma de gestión de centros deportivos de TPC Software. Los fallos incluyen tres vulnerabilidades críticas, dos altas y dos medias, con impactos potenciales sobre la confidencialidad de datos personales, financieros y bancarios, la integridad de cuentas de usuario y la seguridad de las comunicaciones.

Las vulnerabilidades están identificadas como CVE-2026-111489, CVE-2026-111490, CVE-2026-111491, CVE-2026-111492, CVE-2026-111493, CVE-2026-111494 y CVE-2026-111495.

Según la información disponible, no se ha confirmado explotación de ninguna de las vulnerabilidades. No obstante, varias de ellas pueden ser aprovechadas sin autenticación previa y de forma remota, por lo que las organizaciones que utilicen MatchPoint deberían priorizar la aplicación de las medidas comunicadas por el fabricante.

Recursos afectados

El recurso afectado es la plataforma MatchPoint de TPC Software, incluyendo elementos de su API, servicios de servidor y aplicación Android descritos en el aviso.

Descripción de las vulnerabilidades

Los hallazgos abarcan problemas de autenticación, autorización, protección de credenciales, validación de comunicaciones TLS y tratamiento inseguro de datos en la aplicación móvil.

CVE-2026-111489 — Severidad crítica, CVSS v4.0: 9.9, CWE-798. Se ha identificado una credencial estática incrustada en la aplicación móvil. Esta credencial devuelve el token autorizado, al que el informe atribuye acceso no autenticado a servicios de la API.
CVE-2026-111490 — Severidad crítica, CVSS v4.0: 9.9, CWE-639. Se trata de una vulnerabilidad de referencia directa insegura a objetos, también conocida como IDOR. La API confía en el encabezado HTTP actingasuser sin verificar que quien realiza la solicitud esté autorizado para actuar en nombre del usuario indicado. La manipulación de identificadores secuenciales podría permitir el acceso o la modificación de información y cuentas de otros usuarios.
CVE-2026-111491 — Severidad media, CVSS v4.0: 6.9, CWE-256. La aplicación Android almacena credenciales en texto plano tanto en una base de datos SQLite como en SharedPreferences. Un atacante que accediese a los datos locales del dispositivo o a una copia de seguridad podría recuperar nombres de usuario y contraseñas.
CVE-2026-111492 — Severidad alta, CVSS v4.0: 8.6, CWE-89. Existe una inyección SQL en el gestor de notificaciones push de la aplicación Android. El componente procesa mensajes de Firebase Cloud Messaging y construye consultas concatenando datos no confiables. La inyección tiene alcance local al dispositivo y podría facilitar el acceso a información sensible de la base de datos local, incluidas credenciales almacenadas en las versiones descritas en el informe.
CVE-2026-111493 — Severidad alta, CVSS v4.0: 8.7, CWE-306. El endpoint Images.ashx no aplica autenticación ni autorización adecuadas para la descarga de fotografías de perfil. Al utilizar identificadores predecibles, un atacante remoto no autenticado podría enumerarlos y recopilar imágenes de usuarios.
CVE-2026-111494 — Severidad crítica, CVSS v4.0: 9.1, CWE-295. La aplicación Android valida incorrectamente los certificados TLS mediante un TrustManager que acepta cualquier certificado y un verificador de nombres de host permisivo. Además, permite tráfico HTTP sin cifrar. Esta combinación puede exponer las comunicaciones a interceptación y modificación cuando un atacante tiene capacidad para situarse en el canal de comunicación de la víctima.
CVE-2026-111495 — Severidad media, CVSS v4.0: 5.1, CWE-200. El APK contiene claves API, credenciales y parámetros de configuración que pueden extraerse mediante ingeniería inversa. El fabricante diferencia estos elementos de las claves de Google Maps y Firebase que deben permanecer en el cliente y que considera identificadores de proyecto, no secretos de autenticación.

Impacto y nivel de riesgo

Las vulnerabilidades más graves afectan a la protección de la API y a la autorización de acciones sobre cuentas de usuarios. En particular, la explotación de CVE-2026-111490 podría permitir acceder a datos personales, bancarios y financieros, mensajes privados y códigos QR de acceso físico. También podría hacer posible modificar cuentas de terceros, cambiar contraseñas, suplantar identidades y transferir saldos virtuales.

La exposición de una credencial estática en CVE-2026-111489 representa un riesgo elevado porque el informe asocia el token obtenido con acceso no autenticado a servicios de la API. Por su parte, CVE-2026-111493 podría facilitar la recopilación no autorizada de fotografías de perfil, cuya asociación con identidades podría verse favorecida por otros fallos de la plataforma.

Los problemas presentes en la aplicación Android requieren condiciones diferentes. El almacenamiento de credenciales en texto plano y la inyección SQL descrita tienen alcance local al dispositivo. La validación insegura de TLS y la aceptación de tráfico HTTP requieren que un atacante pueda interceptar las comunicaciones de la víctima.

Las puntuaciones CVSS v4.0 comunicadas son las siguientes:

CVE-2026-111489: 9.9 — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
CVE-2026-111490: 9.9 — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
CVE-2026-111491: 6.9 — CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
CVE-2026-111492: 8.6 — CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVE-2026-111493: 8.7 — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
CVE-2026-111494: 9.1 — CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
CVE-2026-111495: 5.1 — CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

INCIBE-CERT indica para todos los CVE que la explotación es No. Esto significa que la fuente no informa de explotación conocida, pero no elimina el riesgo potencial asociado a los fallos identificados.

Solución y medidas recomendadas

El fabricante informa de que las correcciones de servidor para CVE

Fuente: link

Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.

TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.

Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.