CERT/CC publica dos vulnerabilidades de ejecución de código en INFINITT PACS

La nota VU#203719, publicada el 2 de noviembre, identifica dos problemas en INFINITT PACS System Manager, el componente administrativo de una plataforma web para almacenar, recuperar y visualizar imágenes médicas. Las versiones señaladas son 3.0.11.3 y 3.0.11.5.

CVE-2026-16305 describe permisos inseguros sobre un manifiesto de actualización: un usuario local con pocos privilegios podría modificar comandos que se ejecutarían al aprobar una actualización. CVE-2026-16306 afecta el manejo del esquema URI imodular://; un enlace preparado podría invocar funciones sin validar de manera adecuada el comando, y además iniciar una conexión a un endpoint SignalR controlado por un tercero.

CERT/CC señala que la primera falla puede elevar la ejecución a privilegios administrativos si se cumplen las condiciones descritas. La segunda puede ejecutar código con los permisos de la persona usuaria y servir como punto de apoyo. En sistemas PACS, la disponibilidad e integridad de estudios e información clínica son críticas para flujos diagnósticos, aunque el aviso no afirma que hayan ocurrido incidentes.

INFINITT corrigió los defectos en System Manager 3.0.12.3 y 3.0.12.5. Los equipos de TI hospitalaria deben identificar instalaciones y versiones, aplicar la actualización aprobada por el proveedor, revisar permisos de archivos del actualizador y limitar quién puede aprobar cambios. Conviene además investigar registros de enlaces URI invocados y conexiones salientes inusuales.

CERT/CC declara que no tiene indicios de explotación de estas vulnerabilidades y que el proveedor no había entregado una declaración al repositorio. La nota es una divulgación coordinada, no evidencia de una intrusión real. La imagen de portada es una ilustración de un entorno PACS de otro proveedor y solo representa el contexto de imagen médica.