Ejecución Remota de Código en el manejador de URI IModular.exe de INFINITT Healthcare System Manager (CVE-2026-16306)

El gestor de sistema de INFINITT Healthcare (INFINITT PACS) contiene una vulnerabilidad de inyección basada en el uso de entradas controladas externamente para seleccionar clases o código (Reflexión Inyectada, CWE-470) y control inadecuado de generación de código (CWE-94). Esto ocurre específicamente a través del manejador de URI personalizado (imodular://) procesado por IModular.exe.

Vector de Ataque:

Origen / Complejidad: red (Remoto, sin autenticación) | complejidad de ataque Baja.

Requisitos: no requiere autenticación previa ni interacción de un usuario privilegiado dentro de la aplicación.

Mecanismo: un atacante remoto no autenticado puede engañar o enviar una URL especialmente manipulada utilizando un esquema de URI personalizado (imodular://) que contiene parámetros de comandos y argumentos controlados por el atacante. Al procesar esta URI, la aplicación invoca funciones internas no intencionadas y ejecuta código arbitrario en el sistema host.

Impacto Estimado:

Confidencialidad: alta — acceso total a los datos almacenados en el entorno de la aplicación médica.

Integridad: alta — posibilidad de modificar o alterar configuraciones y registros del sistema clínico.

Disponibilidad: alta — riesgo de interrupción total de los servicios del PACS o de la plataforma de salud.

Impacto Negocio: compromiso crítico de la infraestructura de imágenes médicas (PACS). Un atacante podría tomar control total del servidor afectado, interrumpiendo operaciones hospitalarias esenciales y comprometiendo datos médicos sensibles de los pacientes.

Solución Definitiva : aplicar inmediatamente los parches oficiales de actualización proporcionados por INFINITT Healthcare tan pronto como estén disponibles para su versión específica.

Medidas de Mitigación / Contención Temporal: restringir estrictamente el acceso a las versiones vulnerables aislando los sistemas de redes no confiables o exposición directa a Internet.; deshabilitar o restringir el registro y manejo del esquema de URI imodular:// en las estaciones y servidores expuestos mientras se despliega la actualización oficial; monitorear el tráfico y los logs en búsqueda de peticiones o activaciones anómalas de esquemas de URI personalizados.

https://nvd.nist.gov/vuln/detail/cve-2026-16306