CompuGroup Medical - CVE-2026-112172
Date de publication :
Il s’agit d’une vulnérabilité d’injection SQL dans les points d’accès PHP de l’infrastructure de synchronisation de XDent et XMedical.
XDent est un logiciel de gestion destiné aux cabinets dentaires. XMedical est un logiciel de gestion destiné aux cabinets médicaux. Les deux sont édités par CompuGroup Medical.
Ces points d’accès valident mal les données fournies par l’utilisateur. Un attaquant non authentifié peut envoyer des requêtes spécialement conçues. Ces requêtes permettent de manipuler les variables de session. Elles permettent aussi d’exécuter des requêtes SQL arbitraires sur les bases MySQL de l’infrastructure. *
Elle permet de lire, de modifier les données stockées dans la base ou de porter atteinte à leur disponibilité.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Déni de service (à distance)
Exploitation
CWE-89 : Improper Neutralization of Special Elements used in an SQL Command
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : En attente d’information
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
XDent et XMedical versions antérieures à 4.4.0 (NVD, source ENISA).
Solutions ou recommandations
• L’ACN recommande de mettre à jour les produits via les canaux d’assistance convenus avec l’éditeur.