Múltiples vulnerabilidades en productos de Toptech Systems

• CVE-2026-71379: el punto de conexión utilizado para exportar archivos permite que un atacante no autenticado extraiga cualquier tabla de la base de datos mediante una solicitud POST especialmente manipulada.
• CVE-2026-70356: el punto de conexión para cargar archivos no comprueba su tipo en el servidor. Un atacante podría cargar y ejecutar archivos PHP arbitrarios en el servidor web.
• CVE-2026-72510: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro supplier_no de la función de búsqueda de asignaciones comerciales.
• CVE-2026-63713: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro search de la función utilizada para consultar los registros de auditoría.
• CVE-2026-68954: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro pattern de la función de búsqueda de la página principal de TMS.
• CVE-2026-68068: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro screenID del visor de la cola de transacciones electrónicas.
• CVE-2026-72507: vulnerabilidad de inyección SQL ciega basada en tiempo en el parámetro reportType del informe de resumen de productos.
• CVE-2026-71302: vulnerabilidad de fijación de sesión. La aplicación acepta identificadores de sesión proporcionados por el usuario y no los renueva tras la autenticación. Un atacante podría establecer previamente un identificador y reutilizarlo después de que la víctima inicie sesión para secuestrar su sesión.

Para la vulnerabilidad de severidad media se ha asignado el identificador CVE-2026-71189.

Para la vulnerabilidad de severidad baja se ha asignado el identificador CVE-2026-69662.