Multiples vulnérabilités dans MatchPoint de TPC Software
INCIBE a coordonné la communication de sept vulnérabilités détectées dans MatchPoint, la plateforme de gestion de centres sportifs développée par TPC Software. Ces vulnérabilités, qui affectent différents composants de la plateforme, incluent trois de gravité critique, deux de haute et deux de moyenne.
Détails techniques des vulnérabilités détectées
Les vulnérabilités MatchPoint TPC Software sont identifiées sous les codes CVE-2026-111489 à CVE-2026-111495, avec des scores CVSS v4.0 qui reflètent différents niveaux de gravité. Parmi les plus critiques, on trouve :
- CVE-2026-111489 : Une crédential statique intégrée dans l'application mobile a été détectée, permettant d'obtenir un token autorisé pour accéder aux services de l'API sans authentification préalable.
- CVE-2026-111490 : Une vulnérabilité de référence directe non sécurisée à des objets (IDOR) dans l'API qui permet, par manipulation d'identifiants séquentiels et de l'en-tête HTTP actingasuser, d'accéder à des données personnelles et financières, de modifier des comptes, de changer des mots de passe et de usurper des identités.
- CVE-2026-111494 : Problèmes dans la validation des certificats TLS dans l'application Android, avec un TrustManager qui accepte n'importe quel certificat et un vérificateur de noms d'hôte permissif, en plus de permettre un trafic HTTP non chiffré, exposant ainsi les communications à l'interception et à la manipulation.
D'autres vulnérabilités pertinentes incluent le stockage de crédentials en texte clair dans la base de données locale et les préférences partagées d'Android (CVE-2026-111491), injection SQL dans le gestionnaire de notifications push (CVE-2026-111492), absence de mécanismes d'authentification et d'autorisation sur un endpoint pour télécharger des photos de profil (CVE-2026-111493), et l'exposition de clés API et de paramètres de configuration dans l'APK de l'application (CVE-2026-111495).
Impact et portée des vulnérabilités
Les vulnérabilités MatchPoint TPC Software affectent la confidentialité, l'intégrité et l'authenticité des informations gérées par la plateforme. Par exemple, l'IDOR (CVE-2026-111490) peut permettre à un attaquant distant non authentifié d'accéder et de modifier des informations sensibles d'autres utilisateurs, tandis que l'absence d'authentification sur l'endpoint d'images (CVE-2026-111493) facilite le téléchargement massif de photos de profil via des identifiants prévisibles.
Dans le cas de la validation incorrecte des certificats TLS (CVE-2026-111494), un attaquant capable d'intercepter le trafic peut lire et modifier les communications, y compris les crédentials et les données personnelles. Cependant, l'injection SQL identifiée (CVE-2026-111492) a une portée locale, n'affectant que le dispositif concerné.
Mesures et solutions recommandées
Le fabricant a communiqué que les corrections de serveur pour les vulnérabilités CVE-2026-111490 et CVE-2026-111493 sont déjà déployées et s'appliquent indépendamment de la version de l'application. Pour le reste des vulnérabilités, la recommandation est d'installer la dernière version disponible de MatchPoint.
Ces actions visent à atténuer les risques associés aux vulnérabilités MatchPoint TPC Software, bien que le fabricant n'ait pas informé sur l'exploitation active de ces failles.
Origine et coordination de l'avis
Les découvertes ont été rapportées par Sergi García Tárraga et coordonnées par INCIBE, qui a publié l'avis en date du 5 novembre 2026. INCIBE a attribué une importance critique à l'ensemble des vulnérabilités, soulignant la nécessité d'une attention immédiate de la part des utilisateurs et des administrateurs de la plateforme.
Cette coordination fait partie des fonctions d'INCIBE pour alerter et faciliter la gestion des incidents de cybersécurité en Espagne. L'avis peut être consulté sur la source originale.
Limitations de l'avis et conclusions
L'avis ne fournit pas d'informations sur l'exploitation active des vulnérabilités ni sur les incidents qui en découlent. Il ne donne pas non plus de détails sur la possible affectation à des utilisateurs spécifiques ou sur l'évolution des corrections au-delà de celles indiquées.
Par conséquent, il se limite à décrire les vulnérabilités MatchPoint TPC Software détectées, leur gravité, leur impact potentiel et les mesures recommandées pour leur atténuation, sans entrer dans des analyses de contexte ou des scénarios spécifiques.
Publié: 09/11/2026.
Cet article peut avoir été élaboré avec l’aide d’outils d’intelligence artificielle. Voir la politique IA
Tu peux soutenir le projet ou partager cet article en un clic. Au moins ici, il y a une vraie sortie utile.