Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Múltiples vulnerabilidades en MatchPoint de TPC Software

Fecha de publicación 05/11/2026
Identificador
INCIBE-2026-841
Importancia
5 - Crítica
Recursos Afectados

Plataforma MatchPoint.

Descripción

INCIBE ha coordinado la comunicación de siete vulnerabilidades: 3 de severidad crítica, 2 altas y 2 medias en MatchPoint de TPC Software, una plataforma de gestión de centros deportivos. Los hallazgos han sido reportados por Sergi García Tárraga.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE:

  • CVE-2026-111489: CVSS v4.0: 9.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N | CWE-798
  • CVE-2026-111490: CVSS v4.0: 9.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N | CWE-639
  • CVE-2026-111491: CVSS v4.0: 6.9 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-256
  • CVE-2026-111492: CVSS v4.0: 8.6 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89
  • CVE-2026-111493: CVSS v4.0: 8.7 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-306
  • CVE-2026-111494: CVSS v4.0: 9.1 | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N | CWE-295
  • CVE-2026-111495: CVSS v4.0: 5.1 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-200
Solución

El fabricante comunica las siguientes medidas. Las correcciones de servidor de CVE-2026-111490 y CVE-2026-111493 ya están desplegadas y se aplican con independencia de la versión de la app. Para solucionar el resto de vulnerabilidades se recomienda instalar la última versión disponible.

Detalle
  • CVE-2026-111489: se ha reportado una credencial estática incrustada en la aplicación móvil que devuelve el token ‘autorizado’ en la plataforma MatchPoint. El informe atribuye a este token acceso no autenticado a los servicios de la API.
  • CVE-2026-111490: vulnerabilidad de referencia directa insegura a objetos (IDOR) en la API de MatchPoint, que confía en el encabezado HTTP actingasuser sin comprobar la autorización del solicitante sobre el usuario indicado. La manipulación de identificadores secuenciales permite acceder a datos personales, bancarios, financieros, mensajes privados y códigos QR de acceso físico, así como modificar cuentas de terceros, cambiar contraseñas, suplantar identidades y transferir saldos virtuales.
  • CVE-2026-111491: almacenamiento de credenciales en texto plano en una base de datos SQLite y en SharedPreferences de la aplicación Android de MatchPoint. Un atacante con acceso a los datos locales del dispositivo o a una copia de seguridad podría recuperar nombres de usuario y contraseñas y utilizarlos para acceder sin autorización a las cuentas de la plataforma.
  • CVE-2026-111492: inyección SQL en el gestor de notificaciones push de la aplicación Android de MatchPoint, que procesa mensajes de Firebase Cloud Messaging y construye consultas mediante concatenación de datos no confiables. Un atacante con capacidad para interactuar con el componente podría manipular consultas y acceder a información sensible de la base de datos local, incluidas las credenciales almacenadas en las versiones descritas en el informe. El alcance de la inyección es local al dispositivo.
  • CVE-2026-111493: ausencia de autenticación y autorización en el endpoint Images.ashx en MatchPoint, que permite descargar fotografías de perfil mediante identificadores predecibles. Un atacante remoto no autenticado podría enumerar esos identificadores y recopilar fotografías de los usuarios. Su asociación con identidades puede verse facilitada por otras vulnerabilidades de la plataforma.
  • CVE-2026-111494: validación incorrecta de certificados TLS en la aplicación Android de MatchPoint debido a un TrustManager que acepta cualquier certificado y a un verificador de nombres de host permisivo. Además, la aplicación permite tráfico HTTP sin cifrar. Un atacante con capacidad para interceptar el tráfico de la víctima podría leer y modificar las comunicaciones, incluidas credenciales y datos personales.
  • CVE-2026-111495: el informe identifica claves API, credenciales y parámetros de configuración incrustados en el APK de MatchPoint, extraíbles mediante ingeniería inversa. El fabricante distingue los elementos retirados de las claves de Google Maps y Firebase que deben permanecer en el cliente y que considera identificadores de proyecto, no secretos de autenticación. El impacto depende de las capacidades y restricciones de cada elemento expuesto.
CVE
Identificador CVE Severidad Explotación Fabricante
CVE-2026-111489 Crítica No TPC Software
CVE-2026-111490 Crítica No TPC Software
CVE-2026-111491 Media No TPC Software
CVE-2026-111492 Alta No TPC Software
CVE-2026-111493 Alta No TPC Software
CVE-2026-111494 Crítica No TPC Software
CVE-2026-111495 Media No TPC Software
Listado de referencias
MatchPoint
Etiquetas