Múltiples vulnerabilidades en NoviGest Desktop App de Tactis

Fecha de publicación 28/10/2026

Identificador

INCIBE-2026-801

Importancia

5 - Crítica

Recursos Afectados

NoviGest Desktop App, versión 7.4.4-292: servicio Java RMI e importación de archivos XML del módulo SAFT.

Descripción

INCIBE ha coordinado la publicación de 2 vulnerabilidades, una de severidad crítica y otra de severidad alta, que afectan a NoviGest Desktop App de Tactis Serviços Informáticos, LDA, un software de gestión clínica. Las vulnerabilidades han sido descubiertas por Pablo Jordán Lucia y Marina Jiali Villalta Cerezo.

A estas vulnerabilidades se les han asignado los siguientes códigos, puntuaciones base CVSS v4.0, vectores del CVSS y tipos de vulnerabilidad CWE:

CVE-2026-112197: CVSS v4.0: 9.4 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | CWE-306
CVE-2026-112198: CVSS v4.0: 8.3 | CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N | CWE-611

Solución

Actualizar NoviGest Desktop App a la versión 8.0.0-300, en la que el fabricante confirma la corrección de ambas vulnerabilidades.

Para CVE-2026-112197, los métodos remotos que acceden a datos requieren un token de sesión JWT validado en el servidor. Se han retirado las interfaces que exponían credenciales y permitían ejecutar SQL arbitrario, y se han reducido los privilegios de la cuenta de PostgreSQL para impedir la ejecución de programas y el acceso a archivos del servidor.

Para CVE-2026-112198, el procesamiento XML utiliza un XMLStreamReader con las DTD y las entidades externas deshabilitadas. La validación de esquemas emplea procesamiento seguro y bloquea el acceso a DTD y esquemas externos.

Detalle

CVE-2026-112197: vulnerabilidad de ausencia de autenticación en funciones críticas del servicio Java RMI de NoviGest Desktop App. Un atacante con acceso de red al servicio puede invocar métodos remotos sin autenticarse, obtener credenciales sensibles y ejecutar consultas SQL arbitrarias sobre PostgreSQL. Los privilegios elevados de la cuenta de base de datos permiten encadenar estas capacidades para ejecutar comandos del sistema operativo en el servidor, comprometiendo su confidencialidad, integridad y disponibilidad.
CVE-2026-112198: vulnerabilidad de inyección de entidades externas XML (XXE) en la importación SAFT de NoviGest Desktop App. La aplicación procesa archivos XML controlados por el usuario mediante un Unmarshaller JAXB sin deshabilitar adecuadamente la resolución de entidades externas. Un atacante con acceso a esta funcionalidad puede proporcionar un archivo XML manipulado para leer archivos locales accesibles al proceso de la aplicación. Si esta se ejecuta con privilegios elevados, podrían quedar expuestos archivos sensibles del sistema.

CVE