Impatto Sistemico

Medio (64.23)

Sintesi

Nell’ambito del processo di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure – CVD), si rendono note le vulnerabilità individuate da ricercatori di sicurezza, e coordinate da questo CSIRT in collaborazione con il vendor interessato, relative al prodotto Farmasimplex, software gestionale sviluppato da CIPCarbone, progettato specificamente per le esigenze di farmacie e parafarmacie.

Tipologia

• Arbitrary Code Execution
• Data Manipulation
• Information Disclosure
• Spoofing

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-118789 – di tipo ” Untrusted SQL Execution ” e con score CVSS v4.0 pari a 8.1 – interessa il meccanismo di download ed elaborazione dei file CIP News , che potrebbe consentire l’esecuzione di istruzioni SQL arbitrarie nel database locale. Lo sfruttamento di tale vulnerabilità potrebbe consentire a un attaccante in grado di manipolare i file CIP News, distribuiti tramite HTTP, l’accesso non autorizzato ai dati, la loro modifica o cancellazione e, in alcuni scenari, l’esecuzione di comandi sul sistema operativo.

La vulnerabilità identificata tramite la CVE-2026-123050 – di tipo ” Improper TLS Certificate Validation ” e con score CVSS v4.0 pari a 7.1 – è dovuta a meccanismi di controllo non adeguati dei certificati TLS implementati nei moduli di integrazione. Lo sfruttamento di tale vulnerabilità potrebbe consentire a un attaccante, in grado di intercettare il traffico di rete, di impersonare servizi legittimi ed effettuare attacchi di tipo man-in-the-middle , accedendo ad informazioni sensibili o alterando i dati scambiati dai sistemi interessati.

La vulnerabilità identificata tramite la CVE-2026-123051 – di tipo ” Use of Hard-Coded Credentials ” e con score CVSS v4.0 pari a 1.2 – è dovuta alla presenza di credenziali OAuth incorporate all’interno del modulo di integrazione REV.exe utilizzato per l’interazione con la piattaforma IZS. Lo sfruttamento di tale vulnerabilità potrebbe consentire a un attaccante in possesso dell’eseguibile di estrarre e riutilizzare le credenziali esposte, con la conseguente possibilità di ottenere accesso non autorizzato alle risorse di integrazione o manipolare le informazioni associate, in funzione dei privilegi concessi all’account interessato.

La vulnerabilità identificata tramite la CVE-2026-123052 – di tipo ” Shared Hard-Coded OAuth Credentials ” e con score CVSS v4.0 pari a 4.7 – interessa il componente di integrazione CeliachiaRL distribuito con Farmasimplex, il quale utilizza un insieme di credenziali OAuth condivise tra diverse installazioni presso clienti differenti. Tale vulnerabilità potrebbe consentire a un attaccante che riuscisse a ottenere le credenziali da una singola installazione di riutilizzarle per autenticarsi ai servizi associati ad altre installazioni, con la conseguente possibilità di accedere ad informazioni sensibili o modificare i dati gestiti dall’integrazione.

Prodotti e/o versioni affette

Farmasimplex, versioni precedenti alla 16.2.0

Azioni di mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili attraverso i canali di distribuzione del vendor.