CVE-2026-112197

KrytyczneCVSS 9.4

Opublikowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Streszczenie

Aplikacja NoviGest Desktop posiada usługę Java RMI bez uwierzytelniania w krytycznych funkcjach. Atakujący z dostępem sieciowym może wywoływać zdalne metody bez logowania, pozyskiwać poufne dane uwierzytelniające oraz wykonywać dowolne zapytania SQL na PostgreSQL. Wysokie uprawnienia konta bazy danych pozwalają na łańcuchowe wykorzystanie do wykonania poleceń systemu operacyjnego na serwerze.

Ocena ryzyka

Podatność umożliwia pełne przejęcie serwera bazy danych i systemu operacyjnego, co prowadzi do naruszenia poufności, integralności i dostępności krytycznych zasobów organizacji.

Rekomendacja

Należy natychmiast ograniczyć dostęp sieciowy do usługi Java RMI oraz wdrożyć uwierzytelnianie i autoryzację dla zdalnych wywołań. Zaleca się również aktualizację aplikacji do wersji zawierającej poprawkę.

Inne podatności w NoviGest Desktop App

CVE-2026-112198Wysokie
Aplikacja NoviGest Desktop zawiera podatność XML External Entity (XXE) w funkcji importu SAFT. Aplikacja przetwarza pliki XML kontrolowane przez użytkownika za pomocą JAXB Unmarshaller bez prawidłowego wyłączenia rozwiązywania encji zewnętrznych. Atakujący może dostarczyć zmanipulowany plik XML, aby odczytać lokalne pliki dostępne dla procesu aplikacji.

Oryginalny opis (angielski, źródło NVD)

Vulnerability due to a lack of authentication in critical functions of the NoviGest Desktop App's Java RMI service. An attacker with network access to the service can invoke remote methods without authentication, obtain sensitive credentials, and execute arbitrary SQL queries on PostgreSQL. The elevated privileges of the database account allow these capabilities to be chained together to execute operating system commands on the server, compromising its confidentiality, integrity, and availability.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS