Alcance de la investigación

MatchPoint es una plataforma de gestión de centros deportivos. El aviso recoge problemas de control de acceso, almacenamiento de credenciales, tratamiento de notificaciones, validación de certificados y exposición de información.

La clasificación publicada es de tres vulnerabilidades críticas, dos altas y dos medias. Esta página resume la información pública y las medidas comunicadas por el fabricante; cada hallazgo enlaza a su registro CVE.

El reporte y la publicación se han coordinado con INCIBE-CERT. Gracias a su equipo por el trabajo de coordinación.

Hallazgos publicados

CVSS v4.0

Identificadores, categorías y puntuaciones recogidos en el aviso de INCIBE del 5 de noviembre de 2026.

  1. CVE-2026-111489Crítica 9,9

    Credencial estática en la aplicación

    Un valor incluido en la app permite obtener un token de acceso a servicios de la API sin autenticación previa.

    CWE-798 Credenciales embebidas

  2. CVE-2026-111490Crítica 9,9

    Control de acceso insuficiente en la API

    Una referencia a otro usuario permite acceder a sus datos y realizar operaciones sobre su cuenta sin comprobar la autorización.

    CWE-639 IDOR

  3. CVE-2026-111491Media 6,9

    Contraseñas guardadas en texto claro

    Las credenciales quedan expuestas a quien pueda acceder a los datos locales de la aplicación o a una copia de seguridad.

    CWE-256 Almacenamiento de contraseñas

  4. CVE-2026-111492Alta 8,6

    Inyección SQL en el tratamiento de notificaciones

    La construcción insegura de consultas afecta a la base de datos local de Android. El alcance descrito se limita al dispositivo.

    CWE-89 Inyección SQL

  5. CVE-2026-111493Alta 8,7

    Fotografías de perfil sin control de acceso

    La ausencia de autenticación y autorización permite consultar fotografías mediante identificadores predecibles.

    CWE-306 Falta de autenticación

  6. CVE-2026-111494Crítica 9,1

    Validación incorrecta de certificados TLS

    La validación permisiva y el tráfico HTTP admitido pueden exponer comunicaciones a un atacante capaz de interceptarlas.

    CWE-295 Validación de certificados

  7. CVE-2026-111495Media 5,1

    Información y credenciales incluidas en el APK

    El impacto depende de los permisos y restricciones de cada elemento expuesto. El fabricante distingue los identificadores de proyecto de Google Maps y Firebase de los secretos de autenticación.

    CWE-200 Exposición de información

Medidas comunicadas

INCIBE recoge la respuesta del fabricante y recomienda actualizar la aplicación a la última versión disponible.

CVE-2026-111490 / CVE-2026-111493
El fabricante indica medidas aplicadas en el servidor para mitigar el acceso no autorizado, con independencia de la versión de la aplicación.
Resto de vulnerabilidades
El aviso remite a la actualización de la aplicación móvil.

El aviso no especifica un número de versión corregida. Este apartado refleja lo comunicado por el fabricante a INCIBE; no constituye una verificación independiente de las correcciones.

Fuentes y atribución

El aviso INCIBE-2026-841 atribuye el descubrimiento a Sergi García Tárraga. Los siete registros CVE incluyen ese crédito y el listado de investigadores de INCIBE recoge las siete vulnerabilidades.

Revisado el . El aviso original y los registros CVE son las referencias para consultar actualizaciones posteriores.