MatchPoint の CVE-2026-111489・111490・111494: 固定の認証情報と API の ID 指定の不備で認証なしに他人の情報を読まれ、アカウントを操作される恐れ（CVSS v4.0 9.9、修正版は未確認）

MatchPoint のモバイルアプリと API に、3 件の欠陥（CVE-2026-111489・CVE-2026-111490・CVE-2026-111494）が見つかりました。NVD への登録は 2026-11-05 で、状態は Deferred（評価保留）です。登録元はスペインの INCIBE-CERT で、3 件とも同じ INCIBE-CERT の勧告を参照しています。

3 件の内容

CVE	内容	CWE	CVSS v4.0
CVE-2026-111489	アプリに埋め込まれた固定の認証情報が autorizado トークンを返し、このトークンで認証なしに API サービスへアクセスできると報告された	記載なし	9.9（Critical）
CVE-2026-111490	API が actingasuser HTTP ヘッダーの利用者に対する権限を確認しない（IDOR）。連番の ID を変えるだけで、他人の個人・銀行・金融情報、非公開メッセージ、物理的な入場に使う QR コードを読める。第三者のアカウントの変更、パスワード変更、なりすまし、仮想残高の移動もできる	CWE-639	9.9（Critical）
CVE-2026-111494	Android アプリが、どんな証明書も受け入れる TrustManager と緩いホスト名検証を使い、暗号化されない HTTP 通信も許す。通信を傍受できる攻撃者が、認証情報や個人データを読み書きできる	CWE-295	9.1（Critical）

何が起きるか

• 111489 と 111490 は、ネットワーク越しに、認証なし・利用者の操作なしで到達できる評価（AV:N・AC:L・PR:N・UI:N）です。111490 の記載では、他人の個人情報や金融情報が読め、アカウントの乗っ取りや仮想残高の移動まで行えるとされています。
• 111494 は、攻撃者が被害者の通信を傍受できる位置にいること（公衆 Wi-Fi など）が前提です。評価では攻撃の条件が厳しい（AC:H・AT:P）扱いです。
• 111489 の「autorizado トークン」が何を指すか、どの API が対象かは、NVD の記載だけでは分かりません。

評価

評価元	版	点数	備考
INCIBE-CERT（NVD 上の Secondary）	CVSS v4.0	111489: 9.9、111490: 9.9、111494: 9.1	3 件とも Critical。ベクターは NVD の各ページを参照

• NVD の最終評価は出ていません（Deferred）。点数は登録元が付けた値です。
• 111489 と 111490 は認証不要で CVSS 9 以上のため、基準に沿い severity は critical を案とします（確定はオーナーの判断待ち）。111494 も 9.1 ですが、傍受が前提です。
• CISA の KEV には載っていません（取得時点）。FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。

影響を受ける版と修正版

NVD には影響を受ける版も修正版も書かれていません。参照先の INCIBE-CERT 勧告の本文は、本稿の作成時に読み取れず、版や対策は確認できていません。

利用者が考えられる対策

1. ベンダーの修正版が出ているかを確認し、MatchPoint のアプリを更新します。修正版の有無は未確認です。
2. 修正が確認できるまで、公衆 Wi-Fi など信頼できない回線でアプリを使うのを避けます（111494 への備え）。
3. アカウントのパスワードを変更し、身に覚えのない操作、残高の移動、設定変更がないかを確認します。
4. 運営側は、API で actingasuser ヘッダーの利用者に対する権限を検証し、アプリに固定の認証情報を持たせない設計にします。TLS の証明書とホスト名を正しく検証し、HTTP 通信を禁止します。

未確認の点

• 影響を受ける版・修正版・修正の有無（NVD に記載なし）。
• INCIBE-CERT 勧告の本文（本稿では読み取れていない）。NVD では同じ勧告が MatchPoint の欠陥をほかにも挙げており、本稿が扱うのは 3 件だけです。
• 実際の悪用や PoC の有無、被害の有無。
• 「autorizado トークン」の仕様と、対象となる API の範囲。
• NVD の最終評価（現状は Deferred）。