Tactis NoviGest Desktop App: XML External Entity Injection im SAFT-Import
Zusammenfassung
Die SAFT-Importfunktion der NoviGest Desktop App, einer Software für das klinische Management, verarbeitet vom Benutzer bereitgestellte XML-Dateien mit einem JAXB Unmarshaller, ohne die Auflösung externer Entitäten korrekt zu deaktivieren. Ein Angreifer mit Zugriff auf die Importfunktion, was ein lokales Benutzerkonto mit niedrigen Privilegien voraussetzt, kann eine manipulierte XML-Datei einschleusen und lokale Dateien lesen, auf die der Anwendungsprozess Zugriff hat. Läuft die Anwendung mit erhöhten Privilegien, könnten sensible Systemdateien offengelegt werden. Die Korrektur des Herstellers ist im selben Update enthalten, das auch die kritische Schwachstelle CVE-2026-112197 behebt.
Betroffen
- NoviGest Desktop App vor 8.0.0-300 (Angabe im CNA-Eintrag)
- INCIBE-2026-801 berichtet über Version 7.4.4-292
Behoben in
- Version 8.0.0-300 (Hersteller bestätigt die Behebung)
Umgehung
- Unbekannt. Keine Workaround-Lösung des Herstellers gefunden.
- Übergangsweise: Die Berechtigung für den SAFT-Import einschränken, keine Dateien aus unvertrauenswürdigen Quellen importieren und die Anwendung mit möglichst niedrigen Kontoberechtigungen betreiben.
Ausnutzung
- Zum Zeitpunkt der Quellen ist keine Ausnutzung bekannt.
- Kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Installationen der NoviGest Desktop App inventarisieren.
- Auf 8.0.0-300 oder neuer aktualisieren, zuerst Systeme mit erhöhten Privilegien für die Anwendung.
- Sicherstellen, dass das Update auch CVE-2026-112197 abdeckt, die gravierendere Schwachstelle.
- Bis zur Aktualisierung den SAFT-Import auf vertrauenswürdige Benutzer und Dateien beschränken.
- Prüfen, ob das lokale Lesen von Dateien personenbezogene Gesundheitsdaten nach dem Schweizer Datenschutzgesetz betrifft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- INCIBE-CERT notice INCIBE-2026-801 www.incibe.es
- Bujarra security notice (CVSS vector and fix details) www.bujarra.com
- OffSeq Radar: CVE-2026-112198 radar.offseq.com
- Strix AI: CVE-2026-112198 www.strix.ai
- Strix AI: CVE-2026-112197 www.strix.ai
- TechConsulting: INCIBE notice summary (Spanish) techconsulting.es
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.