CVE-2026-112198

WysokieCVSS 8.3

Opublikowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Streszczenie

Aplikacja NoviGest Desktop zawiera podatność XML External Entity (XXE) w funkcji importu SAFT. Aplikacja przetwarza pliki XML kontrolowane przez użytkownika za pomocą JAXB Unmarshaller bez prawidłowego wyłączenia rozwiązywania encji zewnętrznych. Atakujący może dostarczyć zmanipulowany plik XML, aby odczytać lokalne pliki dostępne dla procesu aplikacji.

Ocena ryzyka

Może to prowadzić do ujawnienia poufnych plików systemowych, zwłaszcza jeśli aplikacja działa z podwyższonymi uprawnieniami.

Rekomendacja

Należy wyłączyć rozwiązywanie encji zewnętrznych w JAXB Unmarshaller oraz zaktualizować aplikację do wersji zawierającej poprawkę.

Inne podatności w NoviGest Desktop App

CVE-2026-112197Krytyczne
Aplikacja NoviGest Desktop posiada usługę Java RMI bez uwierzytelniania w krytycznych funkcjach. Atakujący z dostępem sieciowym może wywoływać zdalne metody bez logowania, pozyskiwać poufne dane uwierzytelniające oraz wykonywać dowolne zapytania SQL na PostgreSQL. Wysokie uprawnienia konta bazy danych pozwalają na łańcuchowe wykorzystanie do wykonania poleceń systemu operacyjnego na serwerze.

Oryginalny opis (angielski, źródło NVD)

XML External Entity (XXE) injection vulnerability in the SAFT import feature of the NoviGest Desktop App. The application processes user-controlled XML files using a JAXB Unmarshaller without properly disabling external entity resolution. An attacker with access to this functionality could provide a manipulated XML file to read local files accessible to the application process. If the application runs with elevated privileges, sensitive system files could be exposed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS