Múltiples vulnerabilidades en MatchPoint de TPC Software
INCIBE ha coordinado la comunicación de siete vulnerabilidades detectadas en MatchPoint, la plataforma de gestión de centros deportivos desarrollada por TPC Software. Estas vulnerabilidades, que afectan a distintos componentes de la plataforma, incluyen tres de severidad crítica, dos de alta y dos de media.
Detalles técnicos de las vulnerabilidades detectadas
Las vulnerabilidades MatchPoint TPC Software se identifican bajo los códigos CVE-2026-111489 a CVE-2026-111495, con puntuaciones CVSS v4.0 que reflejan distintos niveles de gravedad. Entre las más críticas destacan:
- CVE-2026-111489: Se detectó una credencial estática incrustada en la aplicación móvil que permite obtener un token autorizado para acceder a los servicios de la API sin autenticación previa.
- CVE-2026-111490: Una vulnerabilidad de referencia directa insegura a objetos (IDOR) en la API que permite, mediante manipulación de identificadores secuenciales y el encabezado HTTP actingasuser, acceder a datos personales y financieros, modificar cuentas, cambiar contraseñas y suplantar identidades.
- CVE-2026-111494: Problemas en la validación de certificados TLS en la aplicación Android, con un TrustManager que acepta cualquier certificado y un verificador de nombres de host permisivo, además de permitir tráfico HTTP sin cifrar, lo que expone las comunicaciones a interceptación y manipulación.
Otras vulnerabilidades relevantes incluyen el almacenamiento de credenciales en texto plano en la base de datos local y preferencias compartidas de Android (CVE-2026-111491), inyección SQL en el gestor de notificaciones push (CVE-2026-111492), ausencia de mecanismos de autenticación y autorización en un endpoint para descargar fotografías de perfil (CVE-2026-111493), y la exposición de claves API y parámetros de configuración en el APK de la aplicación (CVE-2026-111495).
Impacto y alcance de las vulnerabilidades
Las vulnerabilidades MatchPoint TPC Software afectan a la confidencialidad, integridad y autenticidad de la información manejada por la plataforma. Por ejemplo, la IDOR (CVE-2026-111490) puede permitir a un atacante remoto no autenticado acceder y modificar información sensible de otros usuarios, mientras que la falta de autenticación en el endpoint de imágenes (CVE-2026-111493) facilita la descarga masiva de fotografías de perfil mediante identificadores predecibles.
En el caso de la validación incorrecta de certificados TLS (CVE-2026-111494), un atacante con capacidad para interceptar el tráfico puede leer y modificar las comunicaciones, incluyendo credenciales y datos personales. Sin embargo, la inyección SQL identificada (CVE-2026-111492) tiene un alcance local, afectando sólo al dispositivo afectado.
Medidas y soluciones recomendadas
El fabricante ha comunicado que las correcciones de servidor para las vulnerabilidades CVE-2026-111490 y CVE-2026-111493 ya están desplegadas y se aplican independientemente de la versión de la aplicación. Para el resto de vulnerabilidades, la recomendación es instalar la última versión disponible de MatchPoint.
Estas acciones buscan mitigar los riesgos asociados a las vulnerabilidades MatchPoint TPC Software, aunque el fabricante no ha informado sobre la explotación activa de estas fallas.
Origen y coordinación del aviso
Los hallazgos fueron reportados por Sergi García Tárraga y coordinados por INCIBE, que ha publicado el aviso con fecha 5 de noviembre de 2026. INCIBE ha asignado una importancia crítica al conjunto de vulnerabilidades, destacando la necesidad de atención inmediata por parte de los usuarios y administradores de la plataforma.
Esta coordinación forma parte de las funciones de INCIBE para alertar y facilitar la gestión de incidentes de ciberseguridad en España. El aviso puede consultarse en la fuente original.
Limitaciones del aviso y conclusiones
El aviso no informa sobre explotación activa de las vulnerabilidades ni sobre incidentes derivados. Tampoco proporciona detalles sobre la posible afectación a usuarios concretos o sobre la evolución de las correcciones más allá de las indicadas.
Por tanto, se limita a describir las vulnerabilidades MatchPoint TPC Software detectadas, su gravedad, impacto potencial y las medidas recomendadas para su mitigación, sin entrar en análisis de contexto o escenarios específicos.
Publicado: 09/11/2026.
Este artículo puede haberse elaborado con apoyo de herramientas de inteligencia artificial. Ver politica de IA
Puedes apoyar el proyecto o compartir este artículo con un clic. Aquí al menos hay una salida útil de verdad.