Inyección SQL (SQLi) en el módulo de autenticación de usuarios de Futurum Software
Módulo de autenticación de usuarios de la plataforma de gestión comercial.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica, que afecta a módulo de autenticación de usuarios de Futurum Software, plataforma de gestión empresarial en la nube diseñada para crear y administrar negocios de marketing multinivel. La vulnerabilidad ha sido descubierta por Diego González Aguín (Celerx).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-14571: CVSS v4.0: 9.1 | CVSS AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:L/SC:H/SI:L/SA:L | CWE-89
La vulnerabilidad ya se ha corregido en el módulo de autenticación de usuarios de Futurum Software.
CVE-2026-14571: vulnerabilidad de Blind SQL Injection en el software de gestión de Futurum Software, originada por la falta de adecuada validación y saneamiento de los inputs proporcionados por el usuario en las consultas a la base de datos del área privada, así como por una configuración incorrecta del WAF. Esta debilidad permite eludir los mecanismos de protección mediante el envío exclusivo de peticiones HTTP manipuladas. La explotación exitosa de la vulnerabilidad podría permitir a un atacante no autenticado ejecutar consultas arbitrarias contra la base de datos, extraer su estructura completa y acceder a información sensible de clientes, incluyendo datos de carácter personal (PII).
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-14571 | Crítica | No | FUTURUM SOFTWARE |
