Múltiples vulnerabilidades en NoviGest Desktop App de Tactis

Se han co­mu­ni­ca­do dos fa­llos de se­gu­ri­dad que im­pac­tan en la apli­ca­ción de es­cri­to­rio No­vi­Gest, per­te­ne­cien­te a Tac­tis Serviços In­for­má­ti­cos, LDA. Los des­cu­bri­mien­tos de estas fa­llas fue­ron rea­li­za­dos por Ma­ri­na Jiali Vi­llal­ta Ce­re­zo y Pablo Jor­dán Lucia, con­tan­do con la coor­di­na­ción de INCIBE para su pu­bli­ca­ción.

El pri­mer fallo iden­ti­fi­ca­do co­rres­pon­de al có­di­go CVE-2026-112197, ca­ta­lo­ga­do como crí­ti­co, y se ori­gi­na en la falta de au­ten­ti­ca­ción en fun­cio­nes esen­cia­les del ser­vi­cio Java RMI. El se­gun­do fallo lleva la de­sig­na­ción CVE-2026-112198, con un nivel de gra­ve­dad alto, y con­sis­te en un pro­ble­ma de in­yec­ción de en­ti­da­des ex­ter­nas XML den­tro de la fun­ción de im­por­ta­ción SAFT del pro­gra­ma.

Para so­lu­cio­nar ambos pro­ble­mas, el pro­vee­dor in­di­có que se debe ac­tua­li­zar el soft­wa­re a una ver­sión más re­cien­te donde ya se en­cuen­tran co­rre­gi­dos. Entre las me­di­das adop­ta­das para sol­ven­tar las vul­ne­ra­bi­li­da­des se en­cuen­tran la im­ple­men­ta­ción de va­li­da­ción de to­kens de se­sión, la eli­mi­na­ción de in­ter­fa­ces ex­pues­tas, la li­mi­ta­ción de pri­vi­le­gios en la base de datos y la des­ac­ti­va­ción del ma­ne­jo de DTD y en­ti­da­des ex­ter­nas en el pro­ce­sa­mien­to de XML.