Múltiples vulnerabilidades en NoviGest Desktop App de Tactis Mié, 28/10/2026 - 09:39
Aviso
Recursos Afectados
NoviGest Desktop App, versión 7.4.4-292: servicio Java RMI e importación de archivos XML del módulo SAFT.
Descripción
INCIBE ha coordinado la publicación de 2 vulnerabilidades, una de severidad crítica y otra de severidad alta, que afectan a NoviGest Desktop App de Tactis Serviços Informáticos, LDA, un software de gestión clínica. Las vulnerabilidades han sido descubiertas por Pablo Jordán Lucia y Marina Jiali Villalta Cerezo.A estas vulnerabilidades se les han asignado los siguientes códigos, puntuaciones base CVSS v4.0, vectores del CVSS y tipos de vulnerabilidad CWE:CVE-2026-112197: CVSS v4.0: 9.4 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | CWE-306CVE-2026-112198: CVSS v4.0: 8.3 | CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-611
Identificador
INCIBE-2026-801
Solución
Actualizar NoviGest Desktop App a la versión 8.0.0-300, en la que el fabricante confirma la corrección de ambas vulnerabilidades.Para CVE-2026-112197, los métodos remotos que acceden a datos requieren un token de sesión JWT validado en el servidor. Se han retirado las interfaces que exponían credenciales y permitían ejecutar SQL arbitrario, y se han reducido los privilegios de la cuenta de PostgreSQL para impedir la ejecución de programas y el acceso a archivos del servidor. Para CVE-2026-112198, el procesamiento XML utiliza un XMLStreamReader con las DTD y las entidades externas deshabilitadas. La validación de esquemas emplea procesamiento seguro y bloquea el acceso a DTD y esquemas externos.
Detalle
CVE-2026-112197: vulnerabilidad de ausencia de autenticación en funciones críticas del servicio Java RMI de NoviGest Desktop App. Un atacante con acceso de red al servicio puede invocar métodos remotos sin autenticarse, obtener credenciales sensibles y ejecutar consultas SQL arbitrarias sobre PostgreSQL. Los privilegios elevados de la cuenta de base de datos permiten encadenar estas capacidades para ejecutar comandos del sistema operativo en el servidor, comprometiendo su confidencialidad, integridad y disponibilidad.CVE-2026-112198: vulnerabilidad de inyección de entidades externas XML (XXE) en la importación SAFT de NoviGest Desktop App. La aplicación procesa archivos XML controlados por el usuario mediante un Unmarshaller JAXB sin deshabilitar adecuadamente la resolución de entidades externas. Un atacante con acceso a esta funcionalidad puede proporcionar un archivo XML manipulado para leer archivos locales accesibles al proceso de la aplicación. Si esta se ejecuta con privilegios elevados, podrían quedar expuestos archivos sensibles del sistema.
5 - Crítica
Listado de referencias
Tactis — Información del fabricante
CWE-306 — Ausencia de autenticación
CWE-611 — Entidades XML externas
Etiquetas
Autenticación
CNA
Código arbitrario
Confidencialidad
+
Software
Vulnerabilidad
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-112197
Crítica
No
Tactic
CVE-2026-112198
Alta
No
Tactic