Un nuevo aviso de seguridad
Referencia directa a objetos inseguros (IDOR) en Tankuam Places de Kompini
Tankuam Places, versiones publicadas anteriores al 25/11/2025.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta a Tankuam Places de Kompini, software para la gestión de los equipamientos municipales. La vulnerabilidad ha sido descubierta por Xavi Márquez González.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-93556: CVSS v4.0: 9.3| CVSS AV:X /AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-639
La vulnerabilidad ha sido solucionada por el equipo de Kompini el día 25/11/2025.
CVE-2026-93556: el endpoint ‘/password/guardarClau/recover’ acepta el parámetro ‘usuariId’, que determina la cuenta cuya contraseña será modificada. El token JWT del proceso de recuperación no se valida frente al usuario indicado en ese parámetro. Un atacante no autenticado podría manipular el identificador y restablecer la contraseña de cualquier cuenta, incluidas cuentas administrativas, lo que podría permitir la toma de control de la cuenta.