Múltiples vulnerabilidades en el juego Assassin de Gaudire

Fecha de publicación 22/06/2026

Identificador

INCIBE-2026-448

Importancia

5 - Crítica

Recursos Afectados

Juego Assassin, última versión.

Descripción

INCIBE ha coordinado la publicación de 3 vulnerabilidades, 2 de severidad crítica y 1 de severidad media, que afectan al juego Assassin de Gaudire, juego participativo con tecnología y contenidos creativos. Las vulnerabilidades han sido descubiertas por Adrià Bonilla Martin k0x.

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:

CVE-2026-7165: CVSS v4.0: 9.4 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | CWE-20
CVE-2026-7166: CVSS v4.0: 9.2 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-200
CVE-2026-7167: CVSS v4.0: 6.9 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N | CWE-287

Solución

No hay solución reportada por el momento.

Detalle

CVE-2026-7165: la vulnerabilidad está presente en el endpoint '/addJugador' de Assassin de Gaudire:
- En los parámetros 'keyJugador' y 'keyJugadorObjectiu' se permite modificar la información de otros usuarios sin necesidad de una validación de autorización previa. Esto podría permitir a un atacante autenticado tener la posibilidad de alterar el ID de cualquier usuario y cambiar su información.
- En los campos 'punts' y 'numObjectiusEliminats' se permite añadir datos arbitrarios, ya que no se valida correctamente la entrada del usuario. Esto posibilita obtener premios auténticos, a través de falsificar las puntuaciones del juego, que los ayuntamientos conceden.
- En el campo 'tokens' se permite la autoasignación de privilegios administrativos sin una validación por parte del servidor ni autenticación previa. Esta vulnerabilidad podría permitir a un atacante autenticado otorgarse permisos de administrador y conseguir así escalar de privilegios.
- En los campos numéricos se posibilita introducir valores extremadamente largos lo que da lugar a la saturación del sistema. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante autenticado causar un ataque de denegación de servicio (DoS) impidiendo que las partidas creadas sean jugables.
- En el parámetro 'urlImatge' se permite realizar peticiones server-side a URLs arbitrarias, posibilitando la obtención de IPs internas de usuarios, acceso a servicios internos, lectura de archivos locales y la interacción no autorizada con APIs de terceros. Un atacante autenticado podría tener acceso a datos confidenciales.
CVE-2026-7166: exposición de datos sensibles proporcionados sin una protección adecuada en Assassin de Gaudire. Desde la API se exponen los datos del correo y del teléfono de los campos 'email' y 'telefon'. Esta vulnerabilidad también está presente en la base de datos local ya que contiene información sensible accesible como datos de menores y usuarios de ayuntamientos.
La explotación exitosa de esta vulnerabilidad podría permitir a un atacante remoto, no autenticado, tener acceso a información y datos sensibles.
CVE-2026-7167: el sistema no valida adecuadamente el campo ‘email’ en Assassin de Gaudire durante el proceso de autenticación, lo que permite la aceptación de direcciones de correo electrónico no verificadas o falsas. Esta falta de validación habilita la creación de cuentas de usuario con correos electrónicos falsos, lo que facilita la creación masiva de cuentas fraudulentas. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante autenticado llevar a cabo diversos ataques, como el envío masivo de spam, el abuso del sistema o el eludir controles de usuario, lo que comprometería la seguridad y la integridad del sistema.

CVE

Identificador CVE	Severidad	Explotación	Fabricante
CVE-2026-7165	Crítica	No	Gaudire
CVE-2026-7166	Crítica	No	Gaudire
CVE-2026-7167	Media	No	Gaudire

Listado de referencias

Página web de Gaudire

Etiquetas