Abast de la recerca

MatchPoint és una plataforma de gestió de centres esportius. L’avís recull problemes de control d’accés, emmagatzematge de credencials, tractament de notificacions, validació de certificats i exposició d’informació.

La classificació publicada és de tres vulnerabilitats crítiques, dues altes i dues mitjanes. Aquesta pàgina resumeix la informació pública i les mesures comunicades pel fabricant; cada troballa enllaça al seu registre CVE.

La notificació i la publicació s’han coordinat amb INCIBE-CERT. Gràcies al seu equip per la feina de coordinació.

Troballes publicades

CVSS v4.0

Identificadors, categories i puntuacions recollits a l’avís d’INCIBE del 5 de novembre de 2026.

  1. CVE-2026-111489Crítica 9,9

    Credencial estàtica a l’aplicació

    Un valor inclòs a l’aplicació permet obtenir un token d’accés a serveis de l’API sense autenticació prèvia.

    CWE-798 Credencials incrustades

  2. CVE-2026-111490Crítica 9,9

    Control d’accés insuficient a l’API

    Una referència a un altre usuari permet accedir a les seves dades i fer operacions sobre el seu compte sense comprovar-ne l’autorització.

    CWE-639 IDOR

  3. CVE-2026-111491Mitjana 6,9

    Contrasenyes desades en text pla

    Les credencials queden exposades a qui pugui accedir a les dades locals de l’aplicació o a una còpia de seguretat.

    CWE-256 Emmagatzematge de contrasenyes

  4. CVE-2026-111492Alta 8,6

    Injecció SQL en el tractament de notificacions

    La construcció insegura de consultes afecta la base de dades local de l’aplicació Android. L’abast descrit es limita al dispositiu.

    CWE-89 Injecció SQL

  5. CVE-2026-111493Alta 8,7

    Fotografies de perfil sense control d’accés

    La manca d’autenticació i autorització permet consultar fotografies mitjançant identificadors predictibles.

    CWE-306 Manca d’autenticació

  6. CVE-2026-111494Crítica 9,1

    Validació incorrecta de certificats TLS

    La validació permissiva i el trànsit HTTP admès poden exposar les comunicacions a un atacant capaç d’interceptar-les.

    CWE-295 Validació de certificats

  7. CVE-2026-111495Mitjana 5,1

    Informació i credencials incloses a l’APK

    L’impacte depèn dels permisos i les restriccions de cada element exposat. El fabricant distingeix els identificadors de projecte de Google Maps i Firebase dels secrets d’autenticació.

    CWE-200 Exposició d’informació

Mesures comunicades

INCIBE recull la resposta del fabricant i recomana actualitzar l’aplicació a l’última versió disponible.

CVE-2026-111490 / CVE-2026-111493
El fabricant indica que ha aplicat mesures al servidor per mitigar l’accés no autoritzat, independentment de la versió de l’aplicació.
Resta de vulnerabilitats
L’avís remet a l’actualització de l’aplicació mòbil.

L’avís no especifica cap número de versió corregida. Aquest apartat reflecteix el que el fabricant ha comunicat a INCIBE; no constitueix una verificació independent de les correccions.

Fonts i atribució

L’avís INCIBE-2026-841 atribueix el descobriment a Sergi García Tárraga. Els set registres CVE inclouen aquest reconeixement i la llista d’investigadors d’INCIBE recull les set vulnerabilitats.

Revisat el . L’avís original i els registres CVE són les referències per consultar actualitzacions posteriors.