CVE-2026-111472: SQLi crítica en TSG Profleet

Qué es la vulnerabilidad

La CVE-2026-111472 es una vulnerabilidad de inyección SQL (CWE-89) descubierta en el producto Profleet del fabricante TSG. Esta categoría de fallo se produce cuando una aplicación no neutraliza adecuadamente los elementos especiales utilizados en un comando SQL, lo que permite a un atacante manipular las consultas que la aplicación envía a la base de datos subyacente.

En este caso concreto, la vulnerabilidad reside en el manejo del parámetro Identificación dentro del endpoint /cgi-bin/index.php. La aplicación procesa este parámetro sin la debida validación o saneamiento, lo que posibilita que un atacante inyecte código SQL malicioso en la consulta que se ejecuta contra la base de datos.

La naturaleza de la vulnerabilidad es especialmente grave por varias razones. En primer lugar, el vector de ataque es de red (AV:N), lo que significa que el atacante no necesita acceso físico ni local al sistema. En segundo lugar, la complejidad del ataque es baja (AC:L), lo que implica que no se requieren condiciones especiales ni conocimientos avanzados para explotarla. En tercer lugar, no se requiere autenticación previa (PR:N) ni interacción del usuario (UI:N), lo que amplía significativamente la superficie de ataque.

El impacto potencial es máximo en cuanto a confidencialidad, integridad y disponibilidad (VC:H, VI:H, VA:H). Esto se traduce en que un atacante podría:

• Recuperar información sensible almacenada en la base de datos, como credenciales, datos personales o información comercial.
• Crear nuevos registros, lo que podría permitir la manipulación de datos o la creación de cuentas de acceso no autorizadas.
• Actualizar datos existentes, alterando la integridad de la información.
• Eliminar registros, lo que podría provocar una pérdida de datos significativa y afectar a la disponibilidad del servicio.

La puntuación CVSS de 9.3 sobre 10, junto con la clasificación de severidad «CRITICAL», refleja la gravedad de esta vulnerabilidad y la necesidad de abordarla con carácter prioritario. El hecho de que la vulnerabilidad sea explotable mediante una simple petición GET incrementa el riesgo, ya que este tipo de solicitudes son comunes y, en muchos casos, no se someten a controles adicionales.

Es importante señalar que, según los datos publicados por CVE.org, todas las versiones de Profleet anteriores al 16 de octubre de 2026 se consideran afectadas. No se ha especificado una versión concreta como punto de partida, lo que sugiere que la vulnerabilidad podría estar presente en múltiples versiones del producto.

La referencia principal para esta vulnerabilidad es el aviso publicado por el INCIBE (Instituto Nacional de Ciberseguridad de España), que actúa como CNA (CVE Numbering Authority) en este caso. Este aviso es la fuente autorizada para obtener detalles adicionales y las recomendaciones específicas del fabricante.

Dado el nivel de criticidad y la facilidad de explotación, se recomienda encarecidamente a los administradores de sistemas que ejecutan TSG Profleet que tomen medidas inmediatas para evaluar su exposición y aplicar las mitigaciones correspondientes.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-111472 afecta al producto Profleet del fabricante TSG. Según la información publicada por CVE.org, todas las versiones del producto anteriores a la fecha 16/10/2026 se consideran afectadas. No se ha especificado un número de versión concreto como punto de partida, por lo que la exposición se extiende a cualquier despliegue de Profleet que no haya recibido la actualización publicada por el fabricante.

Las fuentes consultadas no publican una lista cerrada de versiones específicas afectadas ni un boletín oficial del fabricante con numeración de builds. Se recomienda consultar el aviso publicado por INCIBE para obtener información actualizada sobre la versión corregida y el procedimiento de actualización.

Impacto y riesgo

La vulnerabilidad ha sido clasificada con una puntuación CVSS v4.0 de 9.3, lo que la sitúa en el rango CRÍTICO. El vector completo CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N indica que el atacante puede explotar la vulnerabilidad de forma remota, sin necesidad de autenticación previa y sin interacción del usuario. El impacto sobre la confidencialidad, integridad y disponibilidad de los datos es alto.

La causa raíz se encuentra en una inyección SQL (CWE-89: neutralización incorrecta de elementos especiales utilizados en un comando SQL). El fallo se localiza en el parámetro Identificación del endpoint /cgi-bin/index.php, accesible mediante una petición GET. Un atacante podría manipular este parámetro para:

• Recuperar información confidencial almacenada en la base de datos subyacente.
• Crear registros no autorizados que alteren la operativa del sistema.
• Modificar datos existentes, comprometiendo la integridad de la información.
• Eliminar datos, provocando pérdida de disponibilidad del servicio.

Dado que el vector de ataque es de red y no requiere credenciales, cualquier sistema expuesto con Profleet accesible desde Internet o desde redes no confiables presenta un riesgo elevado de compromiso total de la base de datos. La criticidad se ve agravada por la facilidad de explotación y la ausencia de requisitos previos.

Estado de explotación conocida

Las fuentes consultadas para esta entrada —NVD, CVE.org e INCIBE— no publican evidencia explícita de explotación activa en entornos reales para CVE-2026-111472. No se ha confirmado la existencia de código de exploit público ni campañas maliciosas que aprovechen esta vulnerabilidad.

No obstante, la naturaleza del fallo (inyección SQL en un endpoint accesible mediante GET) y la puntuación CVSS de 9.3 hacen que su explotación sea técnicamente sencilla una vez identificado el parámetro vulnerable. Se recomienda tratar esta vulnerabilidad como explotable y priorizar su remediación de forma inmediata, sin esperar a que se publique prueba de concepto o se observe actividad maliciosa.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas para esta vulnerabilidad. El campo correspondiente en el enriquecimiento de datos aparece vacío, por lo que no se dispone de IOC publicados por NVD, CVE.org ni INCIBE.

Ante la ausencia de IOC oficiales, se recomienda a los administradores revisar los registros de acceso al endpoint /cgi-bin/index.php en busca de peticiones GET anómalas dirigidas al parámetro Identificación, especialmente aquellas que contengan caracteres especiales, operadores SQL o patrones de codificación inusuales. Esta monitorización debe considerarse una medida complementaria y no sustituye a la aplicación de la actualización publicada por el fabricante.

Cómo comprobar si estás afectado

Dado que la vulnerabilidad CVE-2026-111472 afecta a TSG Profleet en versiones anteriores al 16/10/2026, la comprobación inicial debe centrarse en identificar la versión exacta del producto que está ejecutando tu organización. Las fuentes consultadas no publican un comando específico ni un script de verificación automatizado, por lo que la revisión debe realizarse a través de los mecanismos estándar de administración del producto.

Para determinar si tu instalación es vulnerable, sigue estos pasos:

1. Identifica la versión instalada: Accede al panel de administración de Profleet o al archivo de configuración principal para localizar el número de versión. Si el producto no muestra esta información de forma visible, contacta con el soporte de TSG para obtener asistencia.
2. Compara con la fecha límite: Según la información publicada por CVE.org, todas las versiones anteriores al 16 de octubre de 2026 se consideran afectadas. Si tu versión es anterior a esa fecha, asume que eres vulnerable.
3. Revisa los registros de acceso: Examina los logs del servidor web en busca de peticiones GET dirigidas al endpoint /cgi-bin/index.php que incluyan el parámetro Identificación con patrones sospechosos (comillas simples, operadores SQL como UNION, SELECT, OR 1=1, etc.). La presencia de estas peticiones podría indicar intentos de explotación.
4. Consulta el aviso de INCIBE: El Instituto Nacional de Ciberseguridad de España ha publicado una nota técnica que puede contener detalles adicionales sobre la detección. Accede a la referencia oficial incluida en la sección de fuentes para obtener más información.

Nota importante: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. No deben inventarse ni utilizarse listas de IOC no verificadas.

Mitigación y actualización

En el momento de la publicación de este análisis, no se ha publicado un parche oficial específico para CVE-2026-111472 en las fuentes consultadas (NVD, CVE.org e INCIBE). La única acción confirmada es la referencia al aviso del fabricante a través de INCIBE, que debe ser revisada periódicamente para conocer la disponibilidad de actualizaciones.

Mientras tanto, se recomienda aplicar las siguientes medidas de mitigación temporales:

• Restringir el acceso al endpoint vulnerable: Limita el acceso a /cgi-bin/index.php únicamente a direcciones IP o redes internas autorizadas mediante reglas de firewall o listas de control de acceso (ACL) en el servidor web.
• Validación de entrada a nivel de proxy: Si el tráfico pasa por un proxy inverso o un WAF (Web Application Firewall), configura reglas para bloquear peticiones que contengan caracteres SQL sospechosos en el parámetro Identificación.
• Monitorización intensiva: Activa alertas en los sistemas de monitorización para detectar peticiones anómalas al endpoint afectado y revisa los logs con mayor frecuencia.
• Principio de mínimo privilegio: Asegúrate de que la cuenta de base de datos utilizada por la aplicación tenga únicamente los permisos estrictamente necesarios. Esto limita el impacto de una posible explotación.

La puntuación CVSS v4.0 de 9.3 (CRITICAL) refleja que la vulnerabilidad es explotable de forma remota sin autenticación y con baja complejidad, y que el impacto en confidencialidad, integridad y disponibilidad es alto. Por tanto, la prioridad de aplicación de la actualización, cuando esté disponible, debe ser inmediata.

Checklist para administradores

• ☐ He identificado la versión exacta de TSG Profleet instalada en mi organización.
• ☐ He confirmado si mi versión es anterior al 16/10/2026 (fecha límite publicada por CVE.org).
• ☐ He revisado los logs de acceso en busca de peticiones sospechosas al endpoint /cgi-bin/index.php con el parámetro Identificación.
• ☐ He restringido el acceso al endpoint vulnerable mediante firewall o ACL.
• ☐ He configurado reglas en el WAF o proxy para bloquear payloads SQL inyectados.
• ☐ He verificado que la cuenta de base de datos de la aplicación tiene permisos mínimos.
• ☐ He consultado el aviso oficial de INCIBE y la página de NVD para estar al tanto de actualizaciones.
• ☐ He establecido un calendario de revisión periódica de las fuentes oficiales para detectar la publicación de un parche.
• ☐ He notificado al equipo de seguridad interno sobre la existencia de esta vulnerabilidad crítica.

Preguntas frecuentes

¿Qué es CVE-2026-111472?

Es una vulnerabilidad de inyección SQL (CWE-89) en el producto TSG Profleet. Permite a un atacante remoto no autenticado enviar una petición GET al endpoint /cgi-bin/index.php utilizando el parámetro Identificación para recuperar, crear, actualizar o eliminar datos de la base de datos subyacente.

¿Cuál es la puntuación CVSS de esta vulnerabilidad?

La puntuación asignada es 9.3 sobre 10 según la métrica CVSS v4.0, con severidad CRITICAL. El vector completo es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, lo que indica que el ataque es remoto, de baja complejidad y sin requisitos de autenticación.

¿Qué producto y fabricante están afectados?

El fabricante es TSG y el producto afectado es Profleet. Según CVE.org, todas las versiones anteriores al 16 de octubre de 2026 se consideran afectadas.

¿Existe un parche disponible?

Las fuentes consultadas (NVD, CVE.org e INCIBE) no publican un parche específico en el momento de redactar este artículo. Se recomienda revisar periódicamente el aviso de INCIBE y la página de NVD para conocer la disponibilidad de actualizaciones.

¿Cómo puedo saber si mi sistema ha sido comprometido?

Revisa los registros de acceso del servidor web en busca de peticiones inusuales al endpoint /cgi-bin/index.php con el parámetro Identificación que contengan caracteres o patrones SQL sospechosos. No se han publicado IOC estructurados en las fuentes consultadas.

¿Qué debo hacer si soy vulnerable?

Aplica las medidas de mitigación descritas en este artículo (restringir acceso, validar entradas, monitorizar) y permanece atento a la publicación de un parche oficial. La criticidad de la vulnerabilidad exige una actuación inmediata.