Múltiplas vulnerabilidades no MatchPoint da TPC Software
O INCIBE coordenou a comunicação de sete vulnerabilidades detetadas no MatchPoint, a plataforma de gestão de centros desportivos desenvolvida pela TPC Software. Estas vulnerabilidades, que afetam a diferentes componentes da plataforma, incluem três de severidade crítica, duas de alta e duas de média.
Detalhes técnicos das vulnerabilidades detetadas
As vulnerabilidades MatchPoint TPC Software são identificadas pelos códigos CVE-2026-111489 a CVE-2026-111495, com pontuações CVSS v4.0 que refletem diferentes níveis de gravidade. Entre as mais críticas destacam-se:
- CVE-2026-111489: Foi detetada uma credencial estática incorporada na aplicação móvel que permite obter um token autorizado para aceder aos serviços da API sem autenticação prévia.
- CVE-2026-111490: Uma vulnerabilidade de referência direta insegura a objetos (IDOR) na API que permite, através da manipulação de identificadores sequenciais e do cabeçalho HTTP actingasuser, aceder a dados pessoais e financeiros, modificar contas, alterar palavras-passe e usurpar identidades.
- CVE-2026-111494: Problemas na validação de certificados TLS na aplicação Android, com um TrustManager que aceita qualquer certificado e um verificador de nomes de host permissivo, além de permitir tráfego HTTP não cifrado, expondo as comunicações a interceptação e manipulação.
Outras vulnerabilidades relevantes incluem o armazenamento de credenciais em texto plano na base de dados local e preferências partilhadas de Android (CVE-2026-111491), injeção SQL no gestor de notificações push (CVE-2026-111492), ausência de mecanismos de autenticação e autorização num endpoint para descarregar fotografias de perfil (CVE-2026-111493), e a exposição de chaves API e parâmetros de configuração no APK da aplicação (CVE-2026-111495).
Impacto e alcance das vulnerabilidades
As vulnerabilidades MatchPoint TPC Software afetam a confidencialidade, integridade e autenticidade da informação gerida pela plataforma. Por exemplo, a IDOR (CVE-2026-111490) pode permitir a um atacante remoto não autenticado aceder e modificar informação sensível de outros utilizadores, enquanto a falta de autenticação no endpoint de imagens (CVE-2026-111493) facilita o descarregamento massivo de fotografias de perfil através de identificadores previsíveis.
No caso da validação incorreta de certificados TLS (CVE-2026-111494), um atacante com capacidade para interceptar o tráfego pode ler e modificar as comunicações, incluindo credenciais e dados pessoais. No entanto, a injeção SQL identificada (CVE-2026-111492) tem um alcance local, afetando apenas o dispositivo afetado.
Medidas e soluções recomendadas
O fabricante comunicou que as correções de servidor para as vulnerabilidades CVE-2026-111490 e CVE-2026-111493 já estão implementadas e aplicam-se independentemente da versão da aplicação. Para o restante das vulnerabilidades, a recomendação é instalar a última versão disponível do MatchPoint.
Estas ações visam mitigar os riscos associados às vulnerabilidades MatchPoint TPC Software, embora o fabricante não tenha informado sobre a exploração ativa destas falhas.
Origem e coordenação do aviso
As descobertas foram reportadas por Sergi García Tárraga e coordenadas pelo INCIBE, que publicou o aviso com data de 5 de novembro de 2026. O INCIBE atribuiu uma importância crítica ao conjunto de vulnerabilidades, destacando a necessidade de atenção imediata por parte dos utilizadores e administradores da plataforma.
Esta coordenação faz parte das funções do INCIBE para alertar e facilitar a gestão de incidentes de cibersegurança em Espanha. O aviso pode ser consultado na fonte original.
Limitações do aviso e conclusões
O aviso não informa sobre exploração ativa das vulnerabilidades nem sobre incidentes derivados. Também não fornece detalhes sobre a possível afetação a utilizadores concretos ou sobre a evolução das correções além das indicadas.
Portanto, limita-se a descrever as vulnerabilidades MatchPoint TPC Software detetadas, a sua gravidade, impacto potencial e as medidas recomendadas para a sua mitigação, sem entrar em análises de contexto ou cenários específicos.
Publicado: 09/11/2026.
Este artigo pode ter sido elaborado com o apoio de ferramentas de inteligência artificial. Ver politica de IA
Podes apoiar o projeto ou partilhar este artigo com um clique. Pelo menos aqui há uma ação útil de verdade.