Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Inyección SQL en Infoticketing

Fecha de publicación 23/02/2026
Identificador
INCIBE-2026-137
Importancia
5 - Crítica
Recursos Afectados

Infoticketing

Descripción

INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a Infoticketing, un sistema de para gestionar entradas a eventos. La vulnerabilidad ha sido descubierta por Gonzalo Aguilar García (6h4ack).

A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:

  • CVE-2025-41002: CVSS v4.0: 9.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. | CWE-89
Solución

La vulnerabilidad ha sido solucionada por el equipo de Infoticking en la última versión.

Detalle

CVE-2025-41002: vulnerabilidad de inyección SQL en Infoticketing. Esta vulnerabilidad permite a un atacante no autenticado recuperar, crear, actualizar y eliminar la base de datos mediante el envío de una solicitud POST utilizando el parámetro 'codigo' en '/componentes/carrito/carritoAplicarDescuento.php'.

CVE
Explotación
No
CVE
Identificador CVE Severidad Explotación Fabricante
CVE-2025-41002 Crítica No Infoticketing
Listado de referencias
infoticketing web
Etiquetas