Mehrere Sicherheitsanfälligkeiten in MatchPoint von TPC Software
INCIBE hat die Kommunikation von sieben Sicherheitsanfälligkeiten koordiniert, die in MatchPoint, der Plattform zur Verwaltung von Sporteinrichtungen, die von TPC Software entwickelt wurde, entdeckt wurden. Diese Sicherheitsanfälligkeiten betreffen verschiedene Komponenten der Plattform und umfassen drei kritische, zwei hohe und zwei mittlere Schweregrade.
Technische Details zu den entdeckten Sicherheitsanfälligkeiten
Die Sicherheitsanfälligkeiten in MatchPoint TPC Software sind unter den Codes CVE-2026-111489 bis CVE-2026-111495 identifiziert, mit CVSS v4.0-Wertungen, die unterschiedliche Schweregrade widerspiegeln. Zu den kritischsten gehören:
- CVE-2026-111489: Eine statische Anmeldedaten, die in der mobilen Anwendung eingebettet ist, wurde entdeckt, die es ermöglicht, ein autorisiertes Token zu erhalten, um auf die API-Dienste ohne vorherige Authentifizierung zuzugreifen.
- CVE-2026-111490: Eine unsichere direkte Referenzanfälligkeit zu Objekten (IDOR) in der API, die es durch Manipulation von sequenziellen Identifikatoren und dem HTTP-Header actingasuser ermöglicht, auf persönliche und finanzielle Daten zuzugreifen, Konten zu ändern, Passwörter zu ändern und Identitäten zu fälschen.
- CVE-2026-111494: Probleme bei der Validierung von TLS-Zertifikaten in der Android-Anwendung, mit einem TrustManager, der jedes Zertifikat akzeptiert, und einem nachsichtigen Hostnamen-Überprüfer, sowie der Erlaubnis von unverschlüsseltem HTTP-Verkehr, was die Kommunikation der Abhörung und Manipulation aussetzt.
Weitere relevante Sicherheitsanfälligkeiten umfassen die Speicherung von Anmeldedaten im Klartext in der lokalen Datenbank und in den gemeinsamen Android-Einstellungen (CVE-2026-111491), SQL-Injection im Push-Benachrichtigungsmanager (CVE-2026-111492), das Fehlen von Authentifizierungs- und Autorisierungsmechanismen an einem Endpunkt zum Herunterladen von Profilbildern (CVE-2026-111493) und die Offenlegung von API-Schlüsseln und Konfigurationsparametern im APK der Anwendung (CVE-2026-111495).
Auswirkungen und Reichweite der Sicherheitsanfälligkeiten
Die Sicherheitsanfälligkeiten in MatchPoint TPC Software betreffen die Vertraulichkeit, Integrität und Authentizität der von der Plattform verwalteten Informationen. Beispielsweise kann die IDOR (CVE-2026-111490) einem nicht authentifizierten Angreifer aus der Ferne den Zugriff auf sensible Informationen anderer Benutzer ermöglichen und diese ändern, während das Fehlen einer Authentifizierung am Bildendpunkt (CVE-2026-111493) das massenhafte Herunterladen von Profilbildern über vorhersagbare Identifikatoren erleichtert.
Im Fall der fehlerhaften Validierung von TLS-Zertifikaten (CVE-2026-111494) kann ein Angreifer, der in der Lage ist, den Verkehr abzufangen, die Kommunikation lesen und ändern, einschließlich Anmeldedaten und persönlicher Daten. Die identifizierte SQL-Injection (CVE-2026-111492) hat jedoch einen lokalen Umfang und betrifft nur das betroffene Gerät.
Empfohlene Maßnahmen und Lösungen
Der Hersteller hat mitgeteilt, dass die Serverkorrekturen für die Sicherheitsanfälligkeiten CVE-2026-111490 und CVE-2026-111493 bereits bereitgestellt wurden und unabhängig von der Version der Anwendung angewendet werden. Für die restlichen Sicherheitsanfälligkeiten wird empfohlen, die neueste verfügbare Version von MatchPoint zu installieren.
Diese Maßnahmen zielen darauf ab, die mit den Sicherheitsanfälligkeiten von MatchPoint TPC Software verbundenen Risiken zu mindern, obwohl der Hersteller keine Informationen über die aktive Ausnutzung dieser Schwachstellen bereitgestellt hat.
Ursprung und Koordination der Mitteilung
Die Erkenntnisse wurden von Sergi García Tárraga gemeldet und von INCIBE koordiniert, das die Mitteilung am 5. November 2026 veröffentlicht hat. INCIBE hat den Sicherheitsanfälligkeiten eine kritische Bedeutung zugewiesen und die Notwendigkeit einer sofortigen Aufmerksamkeit durch die Benutzer und Administratoren der Plattform hervorgehoben.
Diese Koordination ist Teil der Aufgaben von INCIBE, um zu warnen und die Verwaltung von Cyber-Sicherheitsvorfällen in Spanien zu erleichtern. Die Mitteilung kann in der ursprünglichen Quelle eingesehen werden.
Beschränkungen der Mitteilung und Schlussfolgerungen
Die Mitteilung informiert nicht über die aktive Ausnutzung der Sicherheitsanfälligkeiten oder über daraus resultierende Vorfälle. Sie bietet auch keine Details zur möglichen Betroffenheit konkreter Benutzer oder zur Entwicklung der Korrekturen über die angegebenen hinaus.
Daher beschränkt sie sich darauf, die entdeckten Sicherheitsanfälligkeiten in MatchPoint TPC Software, deren Schweregrad, potenzielle Auswirkungen und die empfohlenen Maßnahmen zur Minderung zu beschreiben, ohne in kontextuelle Analysen oder spezifische Szenarien einzutauchen.
Veröffentlicht: 09.11.2026.
Dieser Artikel wurde möglicherweise mithilfe von KI-Werkzeugen erstellt. KI Richtlinie ansehen
Du kannst das Projekt unterstützen oder diesen Artikel mit einem Klick teilen. Wenigstens hat este bloque un propósito real.