Multiple vulnerabilità in MatchPoint di TPC Software
INCIBE ha coordinato la comunicazione di sette vulnerabilità rilevate in MatchPoint, la piattaforma di gestione dei centri sportivi sviluppata da TPC Software. Queste vulnerabilità, che interessano diversi componenti della piattaforma, includono tre di gravità critica, due alta e due media.
Dettagli tecnici delle vulnerabilità rilevate
Le vulnerabilità di MatchPoint TPC Software sono identificate con i codici CVE-2026-111489 a CVE-2026-111495, con punteggi CVSS v4.0 che riflettono diversi livelli di gravità. Tra le più critiche si segnalano:
- CVE-2026-111489: È stata rilevata una credenziale statica incorporata nell'applicazione mobile che consente di ottenere un token autorizzato per accedere ai servizi dell'API senza autenticazione preventiva.
- CVE-2026-111490: Una vulnerabilità di riferimento diretto insicuro a oggetti (IDOR) nell'API che consente, tramite manipolazione di identificatori sequenziali e l'intestazione HTTP actingasuser, di accedere a dati personali e finanziari, modificare conti, cambiare password e impersonare identità.
- CVE-2026-111494: Problemi nella validazione dei certificati TLS nell'applicazione Android, con un TrustManager che accetta qualsiasi certificato e un verificatore di nomi host permissivo, oltre a consentire traffico HTTP non crittografato, esponendo le comunicazioni a intercettazioni e manipolazioni.
Altre vulnerabilità rilevanti includono l'archiviazione di credenziali in chiaro nel database locale e nelle preferenze condivise di Android (CVE-2026-111491), iniezione SQL nel gestore di notifiche push (CVE-2026-111492), assenza di meccanismi di autenticazione e autorizzazione in un endpoint per scaricare fotografie del profilo (CVE-2026-111493), e l'esposizione di chiavi API e parametri di configurazione nell'APK dell'applicazione (CVE-2026-111495).
Impatto e portata delle vulnerabilità
Le vulnerabilità di MatchPoint TPC Software influenzano la riservatezza, l'integrità e l'autenticità delle informazioni gestite dalla piattaforma. Ad esempio, l'IDOR (CVE-2026-111490) può consentire a un attaccante remoto non autenticato di accedere e modificare informazioni sensibili di altri utenti, mentre la mancanza di autenticazione nell'endpoint delle immagini (CVE-2026-111493) facilita il download massivo di fotografie del profilo tramite identificatori prevedibili.
Nel caso della validazione errata dei certificati TLS (CVE-2026-111494), un attaccante in grado di intercettare il traffico può leggere e modificare le comunicazioni, incluse credenziali e dati personali. Tuttavia, l'iniezione SQL identificata (CVE-2026-111492) ha un portata locale, interessando solo il dispositivo colpito.
Misure e soluzioni raccomandate
Il produttore ha comunicato che le correzioni del server per le vulnerabilità CVE-2026-111490 e CVE-2026-111493 sono già state implementate e si applicano indipendentemente dalla versione dell'applicazione. Per il resto delle vulnerabilità, la raccomandazione è di installare l'ultima versione disponibile di MatchPoint.
Queste azioni mirano a mitigare i rischi associati alle vulnerabilità di MatchPoint TPC Software, sebbene il produttore non abbia fornito informazioni sull'esploitazione attiva di queste falle.
Origine e coordinamento dell'avviso
I risultati sono stati segnalati da Sergi García Tárraga e coordinati da INCIBE, che ha pubblicato l'avviso con data 5 novembre 2026. INCIBE ha assegnato un'importanza critica all'insieme di vulnerabilità, sottolineando la necessità di un'attenzione immediata da parte degli utenti e degli amministratori della piattaforma.
Questa coordinazione fa parte delle funzioni di INCIBE per allertare e facilitare la gestione degli incidenti di cybersicurezza in Spagna. L'avviso può essere consultato nella fonte originale.
Limitazioni dell'avviso e conclusioni
L'avviso non informa sull'esploitazione attiva delle vulnerabilità né su incidenti derivati. Non fornisce nemmeno dettagli sulla possibile affezione a utenti specifici o sull'evoluzione delle correzioni oltre a quelle indicate.
Pertanto, si limita a descrivere le vulnerabilità di MatchPoint TPC Software rilevate, la loro gravità, l'impatto potenziale e le misure raccomandate per la loro mitigazione, senza entrare in analisi di contesto o scenari specifici.
Pubblicato: 09/11/2026.
Questo articolo potrebbe essere stato elaborato con il supporto di strumenti di intelligenza artificiale. Vedi politica IA
Puoi sostenere il progetto o condividere questo articolo con un clic. Almeno qui c’è un’azione utile vera.