Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en NoviGest Desktop App de Tactis

Resumen de la alerta

INCIBE-CERT ha publicado el aviso INCIBE-2026-801 sobre dos vulnerabilidades identificadas en NoviGest Desktop App, software de gestión clínica de Tactis Serviços Informáticos, LDA.

Los problemas afectan a la versión 7.4.4-292 y están relacionados con el servicio Java RMI y con la importación de archivos XML del módulo SAFT. La vulnerabilidad de mayor impacto, CVE-2026-112197, tiene una severidad crítica con una puntuación CVSS v4.0 de 9.4. La segunda, CVE-2026-112198, está clasificada como alta y obtiene 8.3 en CVSS v4.0.

Según la información publicada, no existe explotación conocida de ninguna de las dos vulnerabilidades. No obstante, las organizaciones que utilicen la versión afectada deberían priorizar la actualización disponible.

Recursos afectados

• NoviGest Desktop App, versión 7.4.4-292.
• Servicio Java RMI de la aplicación.
• Funcionalidad de importación de archivos XML del módulo SAFT.

Descripción de las vulnerabilidades

CVE-2026-112197 corresponde a una ausencia de autenticación en funciones críticas expuestas por el servicio Java RMI de NoviGest Desktop App. Está clasificada como CWE-306, categoría que describe la falta de mecanismos de autenticación antes de permitir el acceso a una funcionalidad sensible.

Un atacante con acceso de red al servicio podría invocar métodos remotos sin autenticarse. De acuerdo con el aviso, esta situación permitiría obtener credenciales sensibles y ejecutar consultas SQL arbitrarias sobre PostgreSQL. Además, los privilegios elevados de la cuenta utilizada para la base de datos podrían permitir encadenar estas capacidades para ejecutar comandos del sistema operativo en el servidor.

La vulnerabilidad tiene una puntuación CVSS v4.0: 9.4 y el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Aunque el vector refleja que se requieren privilegios bajos, la descripción indica que el servicio puede aceptar invocaciones remotas sin autenticación. Esta diferencia debe evaluarse en función de la exposición concreta del servicio y de los controles de acceso presentes en cada entorno.

CVE-2026-112198 afecta al procesamiento de XML durante la importación SAFT. Se trata de una vulnerabilidad de inyección de entidades externas XML, conocida como XXE y clasificada como CWE-611.

La aplicación procesaba archivos XML controlados por el usuario mediante un Unmarshaller JAXB sin deshabilitar de forma adecuada la resolución de entidades externas. Un archivo XML manipulado podría provocar la lectura de archivos locales a los que tuviera acceso el proceso de la aplicación. Si NoviGest Desktop App se ejecuta con privilegios elevados, el riesgo de exposición de información sensible del sistema sería mayor.

Esta vulnerabilidad presenta una puntuación CVSS v4.0: 8.3 y el vector CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N.

Impacto y nivel de riesgo

La prioridad principal corresponde a CVE-2026-112197. Su explotación podría comprometer la confidencialidad, integridad y disponibilidad del servidor que ejecuta el servicio afectado. Entre las consecuencias potenciales descritas se encuentran el acceso a credenciales, la ejecución de consultas SQL arbitrarias y, mediante el encadenamiento de capacidades y privilegios elevados de PostgreSQL, la ejecución de comandos en el sistema operativo.

Por su parte, CVE-2026-112198 podría utilizarse para leer archivos locales accesibles para el proceso de la aplicación a través de una importación XML manipulada. El impacto dependería de los permisos con los que se ejecute NoviGest Desktop App y de los archivos accesibles en ese contexto.

No se ha informado de explotación activa o confirmada para ninguno de los CVE. La ausencia de explotación conocida no elimina el riesgo inherente a los sistemas que continúen utilizando la versión vulnerable, especialmente cuando el servicio Java RMI sea accesible desde la red o se emplee la función de importación SAFT.

Solución y medidas recomendadas

La solución indicada por el fabricante consiste en actualizar NoviGest Desktop App a la versión 8.0.0-300, que corrige ambas vulnerabilidades.

Para CVE-2026-112197, la versión corregida incorpora validación en servidor de un token de sesión JWT para los métodos remotos que acceden a datos. También elimina las interfaces que exponían credenciales o permitían ejecutar SQL arbitrario, y reduce los privilegios de la cuenta de PostgreSQL para impedir la ejecución de programas y el acceso a archivos del servidor.

Para CVE-2026-112198, la corrección adopta un XMLStreamReader con las DTD y las entidades externas deshabilitadas. Asimismo, la validación de esquemas utiliza procesamiento seguro y bloquea el acceso a DTD y esquemas externos.

Recomendaciones para organizaciones afectadas

1. Identificar las instalaciones de NoviGest Desktop App que ejecuten la versión 7.4.4-292.
2. Planificar y aplicar con prioridad la actualización a la versión 8.0.0-300, conforme a los procedimientos internos de gestión de cambios.
3. Revisar la exposición de red del servicio Java RMI afectado y limitar su accesibilidad a los sistemas y usuarios estrictamente necesarios mientras se completa la actualización.
4. Controlar el uso de la importación SAFT y aplicar especial cautela ante archivos XML no confiables hasta desplegar la versión corregida.
5. Verificar los privilegios asignados a las cuentas de servicio relacionadas con la aplicación y PostgreSQL, especialmente en entornos donde la aplicación pueda ejecutarse con permisos elevados.