Múltiples vulnerabilidades en el juego Assassin de Gaudire Lun, 22/06/2026 - 09:32
Aviso
Recursos Afectados
Juego Assassin, última versión.
Descripción
INCIBE ha coordinado la publicación de 3 vulnerabilidades, 2 de severidad crítica y 1 de severidad media, que afectan al juego Assassin de Gaudire, juego participativo con tecnología y contenidos creativos. Las vulnerabilidades han sido descubiertas por Adrià Bonilla Martin k0x.A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:CVE-2026-7165: CVSS v4.0: 9.4 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | CWE-20CVE-2026-7166: CVSS v4.0: 9.2 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-200CVE-2026-7167: CVSS v4.0: 6.9 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N | CWE-287
Identificador
INCIBE-2026-448
Solución
No hay solución reportada por el momento.
Detalle
CVE-2026-7165: la vulnerabilidad está presente en el endpoint '/addJugador' de Assassin de Gaudire:En los parámetros 'keyJugador' y 'keyJugadorObjectiu' se permite modificar la información de otros usuarios sin necesidad de una validación de autorización previa. Esto podría permitir a un atacante autenticado tener la posibilidad de alterar el ID de cualquier usuario y cambiar su información.En los campos 'punts' y 'numObjectiusEliminats' se permite añadir datos arbitrarios, ya que no se valida correctamente la entrada del usuario. Esto posibilita obtener premios auténticos, a través de falsificar las puntuaciones del juego, que los ayuntamientos conceden. En el campo 'tokens' se permite la autoasignación de privilegios administrativos sin una validación por parte del servidor ni autenticación previa. Esta vulnerabilidad podría permitir a un atacante autenticado otorgarse permisos de administrador y conseguir así escalar de privilegios.En los campos numéricos se posibilita introducir valores extremadamente largos lo que da lugar a la saturación del sistema. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante autenticado causar un ataque de denegación de servicio (DoS) impidiendo que las partidas creadas sean jugables.En el parámetro 'urlImatge' se permite realizar peticiones server-side a URLs arbitrarias, posibilitando la obtención de IPs internas de usuarios, acceso a servicios internos, lectura de archivos locales y la interacción no autorizada con APIs de terceros. Un atacante autenticado podría tener acceso a datos confidenciales.CVE-2026-7166: exposición de datos sensibles proporcionados sin una protección adecuada en Assassin de Gaudire. Desde la API se exponen los datos del correo y del teléfono de los campos 'email' y 'telefon'. Esta vulnerabilidad también está presente en la base de datos local ya que contiene información sensible accesible como datos de menores y usuarios de ayuntamientos. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante remoto, no autenticado, tener acceso a información y datos sensibles.CVE-2026-7167: el sistema no valida adecuadamente el campo ‘email’ en Assassin de Gaudire durante el proceso de autenticación, lo que permite la aceptación de direcciones de correo electrónico no verificadas o falsas. Esta falta de validación habilita la creación de cuentas de usuario con correos electrónicos falsos, lo que facilita la creación masiva de cuentas fraudulentas. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante autenticado llevar a cabo diversos ataques, como el envío masivo de spam, el abuso del sistema o el eludir controles de usuario, lo que comprometería la seguridad y la integridad del sistema.
5 - Crítica
Listado de referencias
Página web de Gaudire
Etiquetas
0day
CNA
Escalada de privilegios
Vulnerabilidad
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-7165
Crítica
No
Gaudire
CVE-2026-7166
Crítica
No
Gaudire
CVE-2026-7167
Media
No
Gaudire