Referencia directa a objetos inseguros (IDOR) en Tankuam Places de Kompini

INCIBE-CERT avisos · 22 sept, 12:07

INCIBE coordinó la publicación de CVE-2026-93556, una vulnerabilidad IDOR crítica (CVSS 9.3) en Tankuam Places de Kompini, software de gestión municipal. El endpoint '/password/guardarClau/recover' no valida correctamente el token JWT frente al usuario indicado, permitiendo a atacantes no autenticados restablecer contraseñas de cualquier cuenta incluidas administrativas. La vulnerabilidad fue solucionada el 25 de noviembre de 2025.