Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Dos nuevos avisos de seguridad

Índice

  • Múltiples vulnerabilidades en AuthPoint Gateway de WatchGuard
  • Múltiples vulnerabilidades en MatchPoint de TPC Software

Múltiples vulnerabilidades en AuthPoint Gateway de WatchGuard

Fecha05/11/2026
Importancia5 - Crítica
Recursos Afectados

AuthPoint Authentication Gateway, versiones desde 1.0 y anteriores a 7.6.0.

  • CVE-2026-121639: afecta a instalaciones configuradas con un proveedor LDAP o Active Directory.
  • CVE-2026-121638: afecta a instalaciones configuradas con un recurso RADIUS, LDAP o ADFS.
Descripción

El equipo WatchGuard AI Security Research ha informado sobre 3 vulnerabilidades de severidad crítica en AuthPoint Gateway. Podrían permitir interrumpir la autenticación, interceptar y modificar comunicaciones con proveedores locales de autenticación o realizar acciones administrativas no autorizadas.

Solución

Actualizar AuthPoint Authentication Gateway a la versión 7.6.0, según el boletín del fabricante.

Detalle
  • CVE-2026-121639: la ausencia de autenticación en una función crítica permite a un atacante remoto sin autenticar, con acceso de red al equipo, interrumpir los servicios de autenticación y eliminar la configuración local de sincronización de directorios.
  • CVE-2026-121638: una validación incorrecta de certificados permite a un atacante situado en la ruta de comunicación interceptar y modificar el tráfico entre AuthPoint Gateway y los proveedores locales de autenticación.
  • CVE-2026-121640: la reutilización de una petición legítima capturada entre componentes de AuthPoint Gateway permite omitir la autenticación y realizar acciones administrativas no autorizadas, incluida la interrupción de los servicios de autenticación.

Múltiples vulnerabilidades en MatchPoint de TPC Software

Fecha05/11/2026
Importancia5 - Crítica
Recursos Afectados

Plataforma MatchPoint.

Descripción

INCIBE ha coordinado la comunicación de siete vulnerabilidades: 3 de severidad crítica, 2 altas y 2 medias en MatchPoint de TPC Software, una plataforma de gestión de centros deportivos. Los hallazgos han sido reportados por Sergi García Tárraga.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y tipo de vulnerabilidad CWE:

  • CVE-2026-111489: CVSS v4.0: 9.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N | CWE-798
  • CVE-2026-111490: CVSS v4.0: 9.9 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N | CWE-639
  • CVE-2026-111491: CVSS v4.0: 6.9 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-256
  • CVE-2026-111492: CVSS v4.0: 8.6 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89
  • CVE-2026-111493: CVSS v4.0: 8.7 | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-306
  • CVE-2026-111494: CVSS v4.0: 9.1 | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N | CWE-295
  • CVE-2026-111495: CVSS v4.0: 5.1 | CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-200
Solución

El fabricante comunica las siguientes medidas. Las correcciones de servidor de CVE-2026-111490 y CVE-2026-111493 ya están desplegadas y se aplican con independencia de la versión de la app. Para solucionar el resto de vulnerabilidades se recomienda instalar la última versión disponible.

Detalle
  • CVE-2026-111489: se ha reportado una credencial estática incrustada en la aplicación móvil que devuelve el token ‘autorizado’ en la plataforma MatchPoint. El informe atribuye a este token acceso no autenticado a los servicios de la API.
  • CVE-2026-111490: vulnerabilidad de referencia directa insegura a objetos (IDOR) en la API de MatchPoint, que confía en el encabezado HTTP actingasuser sin comprobar la autorización del solicitante sobre el usuario indicado. La manipulación de identificadores secuenciales permite acceder a datos personales, bancarios, financieros, mensajes privados y códigos QR de acceso físico, así como modificar cuentas de terceros, cambiar contraseñas, suplantar identidades y transferir saldos virtuales.
  • CVE-2026-111491: almacenamiento de credenciales en texto plano en una base de datos SQLite y en SharedPreferences de la aplicación Android de MatchPoint. Un atacante con acceso a los datos locales del dispositivo o a una copia de seguridad podría recuperar nombres de usuario y contraseñas y utilizarlos para acceder sin autorización a las cuentas de la plataforma.
  • CVE-2026-111492: inyección SQL en el gestor de notificaciones push de la aplicación Android de MatchPoint, que procesa mensajes de Firebase Cloud Messaging y construye consultas mediante concatenación de datos no confiables. Un atacante con capacidad para interactuar con el componente podría manipular consultas y acceder a información sensible de la base de datos local, incluidas las credenciales almacenadas en las versiones descritas en el informe. El alcance de la inyección es local al dispositivo.
  • CVE-2026-111493: ausencia de autenticación y autorización en el endpoint Images.ashx en MatchPoint, que permite descargar fotografías de perfil mediante identificadores predecibles. Un atacante remoto no autenticado podría enumerar esos identificadores y recopilar fotografías de los usuarios. Su asociación con identidades puede verse facilitada por otras vulnerabilidades de la plataforma.
  • CVE-2026-111494: validación incorrecta de certificados TLS en la aplicación Android de MatchPoint debido a un TrustManager que acepta cualquier certificado y a un verificador de nombres de host permisivo. Además, la aplicación permite tráfico HTTP sin cifrar. Un atacante con capacidad para interceptar el tráfico de la víctima podría leer y modificar las comunicaciones, incluidas credenciales y datos personales.
  • CVE-2026-111495: el informe identifica claves API, credenciales y parámetros de configuración incrustados en el APK de MatchPoint, extraíbles mediante ingeniería inversa. El fabricante distingue los elementos retirados de las claves de Google Maps y Firebase que deben permanecer en el cliente y que considera identificadores de proyecto, no secretos de autenticación. El impacto depende de las capacidades y restricciones de cada elemento expuesto.