Impatto Sistemico

Medio (64.23)

Sintesi

Nell’ambito del processo di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure – CVD), si rendono note le vulnerabilità individuate da ricercatori di sicurezza, e coordinate da questo CSIRT in collaborazione con il vendor interessato, presenti in diverse soluzioni software di CompuGroup Medical per la gestione e l’efficienza operativa dei processi relativi a professionisti, farmacie e strutture sanitarie.

Tipologia

• Authentication Bypass
• Information Disclosure
• Elevation of Privilege
• Arbitrary Code Execution

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-118458, di tipo “Use of Hard-coded Credentials” e con score CVSS v4.0 pari a 8.1, è dovuta alla presenza di credenziali amministrative incorporate nel codice e di una procedura di autenticazione di test distribuita negli ambienti di produzione, che effettua il confronto delle credenziali in chiaro per specifici codici applicativi. Un attaccante potrebbe sfruttare tale vulnerabilità per autenticarsi mediante account amministrativi di default senza disporre di credenziali legittime, ottenendo accesso privilegiato al sistema target.

La vulnerabilità identificata tramite la CVE-2026-118459, di tipo “Weak Password Recovery Mechanism for Forgotten Password” e con score CVSS v4.0 pari a 6.3, è dovuta all’impiego, nella procedura di reimpostazione della password, di password di emergenza generate sulla base di informazioni temporali e ricavabili dal codice dell’applicazione pubblicamente disponibile. Un attaccante potrebbe sfruttare tale condizione per autenticarsi al sistema senza disporre di credenziali legittime.

La vulnerabilità identificata tramite la CVE-2026-118460, di tipo “Use of Hard-coded Cryptographic Key” e con score CVSS v4.0 pari a 8.0, è dovuta alla presenza di chiavi crittografiche private incorporate nel software e protette mediante una password condivisa. Un attaccante potrebbe sfruttare tale vulnerabilità per utilizzare tali chiavi al fine di generare attestazioni di identità firmate digitalmente, associate a identificativi arbitrari di professionisti sanitari, e ottenere indebitamente i relativi token di autenticazione, impersonando utenti legittimi e compromettendo la riservatezza e l’integrità delle informazioni e delle funzionalità interessate.

La vulnerabilità identificata tramite la CVE-2026-118461, di tipo “Missing Authentication for Critical Functionality” e con score CVSS v4.0 pari a 8.0, è dovuta alla presenza di controlli di autenticazione e autorizzazione non adeguati nelle operazioni di lettura e scrittura eseguite dal client condiviso, che accetta identificativi controllabili dal chiamante senza richiedere credenziali valide. Un attaccante potrebbe sfruttare tale vulnerabilità per eseguire operazioni di lettura e scrittura associate a identificativi arbitrari, accedendo senza autorizzazione alle informazioni interessate o modificandone indebitamente il contenuto.

La vulnerabilità identificata tramite la CVE-2026-118462, di tipo “Download of Code Without Integrity Check” e con score CVSS v4.0 pari a 7.2, è dovuta alla mancata verifica dell’autenticità e dell’integrità dei file prelevati durante la procedura di aggiornamento del software, nonché all’impiego di valori hash non sottoposti ad adeguate verifiche di integrità o di checksum suscettibili a falsificazione. Lo sfruttamento della vulnerabilità potrebbe consentire a un attaccante, in determinate condizioni, di alterare o sostituire i file di aggiornamento con contenuti opportunamente predisposti al fine di ottenere l’esecuzione di codice arbitrario sul sistema interessato.

La vulnerabilità identificata tramite la CVE-2026-118791, di tipo “Download of Code Without Integrity Check” e con score CVSS v4.0 pari a 7.2, è dovuta alla mancata implementazione di adeguati controlli di autenticità e integrità dei pacchetti acquisiti durante la procedura di aggiornamento del software, che possono essere accettati senza una sufficiente verifica crittografica. Un attaccante potrebbe sfruttare tale vulnerabilità, in presenza delle necessarie condizioni di attacco, per alterare o sostituire i pacchetti di aggiornamento con contenuti malevoli, inducendone l’installazione sul sistema interessato e compromettendo la riservatezza, l’integrità e la disponibilità delle informazioni e delle funzionalità interessate.

La vulnerabilità identificata tramite la CVE-2026-118464, di tipo “Use of Hard-coded Cryptographic Key” e con score CVSS v4.0 pari a 5.8, è dovuta all’impiego di meccanismi crittografici non adeguati. In particolare, alcuni servizi condivisi utilizzano segreti predefiniti comuni a più installazioni, vettori di inizializzazione deterministici, valori di salt nulli e trasformazioni reversibili. Un attaccante locale in possesso di privilegi limitati potrebbe sfruttare tale vulnerabilità per accedere e/o alterare informazioni protette sui sistemi interessati.

La vulnerabilità identificata tramite la CVE-2026-118790, di tipo “Use of Hard-coded Credentials” e con score CVSS v4.0 pari a 7.2, è dovuta alla presenza di credenziali predefinite integrate nelle componenti del prodotto e nelle funzionalità amministrative. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità, in presenza di specifiche condizioni, per accedere senza autorizzazione ad account privilegiati, servizi o funzionalità applicative, utilizzando le credenziali predefinite presenti nelle istanze interessate.

La vulnerabilità identificata tramite la CVE-2026-118465, di tipo “Use of Hard-coded Credentials” e con score CVSS v4.0 pari a 5.8, è riconducibile alla presenza, nelle componenti condivise, delle medesime credenziali predefinite per l’accesso a database Access, CCBasic e DBISAM, ai relativi file di workgroup e ad altri database correlati. Un attaccante locale in possesso di privilegi limitati potrebbe sfruttare tali credenziali per accedere senza autorizzazione ai database interessati, consultando le informazioni in essi contenute o modificandone indebitamente il contenuto.

La vulnerabilità identificata tramite la CVE-2026-118467, di tipo “Insertion of Sensitive Information into Log File” e con score CVSS v4.0 pari a 4.3, è dovuta alla protezione non adeguata delle informazioni sensibili memorizzate e/o trasmesse dalle componenti condivise di logging e telemetria, tra le quali: identificativi di pazienti e professionisti sanitari, informazioni cliniche e identificativi a bassa entropia. Un attaccante locale in possesso di privilegi limitati potrebbe sfruttare tale vulnerabilità per accedere senza autorizzazione a tali informazioni sui sistemi interessati.

La vulnerabilità identificata tramite la CVE-2026-118468, di tipo “Improper Restriction of XML External Entity Reference” e con score CVSS v4.0 pari a 7.2, è dovuta a una configurazione non sicura delle componenti che elaborano i documenti XML che consentono di accedere a risorse esterne durante l’elaborazione dei manifesti di aggiornamento o delle risposte di rete. Un attaccante potrebbe sfruttare tale vulnerabilità, in particolari condizioni e mediante l’invio di un documento XML opportunamente predisposto, al fine di compromettere la riservatezza, l’integrità e la disponibilità delle informazioni e delle funzionalità interessate.

La vulnerabilità identificata tramite la CVE-2026-118795, di tipo “Client-Side Enforcement of Server-Side Security” e con score CVSS v4.0 pari a 5.9, è dovuta alla memorizzazione dei ruoli amministrativi e dei permessi di accesso ai moduli applicativi in campi dei database locali modificabili senza adeguate restrizioni. Un attaccante locale con privilegi limitati e in grado di alterare il database potrebbe sfruttare tale vulnerabilità per manipolare i ruoli e i permessi memorizzati ed elevare i propri privilegi sui sistemi interessati.

La vulnerabilità identificata tramite la CVE-2026-118450, di tipo “Uncontrolled Search Path Element” e con score CVSS v4.0 pari a 5.9, è dovuta al caricamento o alla registrazione di componenti non firmati da un percorso di installazione esterno alla directory Program Files . Un attaccante locale con privilegi limitati potrebbe sfruttare tale vulnerabilità per depositare un file opportunamente predisposto nel percorso interessato e indurre l’applicazione a caricarlo o registrarlo, compromettendo la riservatezza, l’integrità e la disponibilità delle informazioni e delle funzionalità interessate.

La vulnerabilità identificata tramite la CVE-2026-118798, di tipo “Insertion of Sensitive Information into Log File” e con score CVSS v4.0 pari a 4.4, è dovuta alla memorizzazione di informazioni sensibili utilizzate nei processi di autenticazione, tra cui credenziali, segreti associati al protocollo OAuth, informazioni di sessione e altri dati di autenticazione, nei log applicativi e nei sistemi di archiviazione persistente lato client. Un attaccante locale in possesso di privilegi limitati potrebbe sfruttare tale vulnerabilità per accedere alle informazioni esposte e utilizzarle per compromettere le sessioni e/o ottenere accesso non autorizzato alle funzionalità interessate.

La vulnerabilità identificata tramite la CVE-2026-118792, di tipo “Use of Default Credentials” e con score CVSS v4.0 pari a 6.1, è riconducibile alla presenza di credenziali predefinite integrate nel codice che consentono l’accesso al sistema tramite il componente AcuXDBC. Un attaccante locale non autenticato potrebbe sfruttare tale vulnerabilità per accedere senza autorizzazione alle risorse rese disponibili tramite AcuXDBC, compromettendo la riservatezza, l’integrità e la disponibilità delle informazioni e delle funzionalità interessate.

La vulnerabilità identificata tramite la CVE-2026-112172, di tipo “Improper Neutralization of Special Elements used in an SQL Command” e con score CVSS v4.0 pari a 8.1, è dovuta a una non adeguata validazione degli input forniti dall’utente negli endpoint PHP utilizzati dall’infrastruttura di sincronizzazione, che potrebbe consentire la manipolazione delle variabili di sessione e l’esecuzione di query SQL arbitrarie sui database MySQL di backend. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità, mediante l’invio di richieste opportunamente predisposte, per accedere senza autorizzazione ai dati memorizzati nel database, modificarli o comprometterne la disponibilità.

Prodotti e/o versioni affette

XDent, versione 4.4.0

XMedical, versione 4.4.0

Wingesfar, versioni precedenti alla 2026.07a

Venere, versione 8.33.2 e precedenti

Phronesis, versione 4.51.0.1 e precedenti

Infantia, versione 6.09.1 e precedenti

Profim, versione 6.09.1 e precedenti

Azioni di mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili attraverso i canali di assistenza dedicati concordati con il vendor.