NoviGest Desktop App : exécution de commandes possible via le service Java RMI sans authentification

Veille sécuritéBackend & données

P3Critique

Une faille dans le service Java RMI de NoviGest Desktop App permet à un attaquant ayant accès au réseau d’appeler des méthodes distantes sans authentification, de récupérer des identifiants sensibles et d’exécuter des requêtes SQL arbitraires. L’accès élevé du compte PostgreSQL peut ensuite permettre l’exécution de commandes sur le système, compromettant la confidentialité, l’intégrité et la disponibilité du serveur.

IdentifiantCVE-2026-112197

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-112197

Analyse technique

La faille est due à l’absence d’authentification sur des fonctions critiques du service Java RMI. La source fournie ne précise ni les versions affectées, ni une version corrigée, ni de mesure de contournement.

Impact, versions et correctif

Événement datéNouvelle fiche publiée le 2026-10-28T11:17:15.073Z, soit le 2026-10-28T13:17:15.073+02:00 dans la période demandée.

ImpactRécupération d’identifiants, requêtes SQL arbitraires et possibilité d’exécuter des commandes sur le serveur, avec atteinte à la confidentialité, à l’intégrité et à la disponibilité.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.4

Publication2026-10-28T13:17:15.073+02:00

Mise à jour2026-10-28T16:43:13.110+02:00

Détection / vérification

Service Java RMI de NoviGest Desktop App accessible sur le réseau sans authentification.

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est identifiée auprès de l’éditeur et limiter l’accès réseau au service Java RMI en attendant.

Sources

NVD — CVE-2026-112197

Priorisation DFS : P3 · 1 source(s).