CVE-2020-36011
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
W systemie QDOCS Smart Hospital Management System 3.1 w formularzu dodawania pacjenta występuje podatność na atak XSS. Zdalny atakujący może wstrzyknąć dowolny kod JavaScript w polach takich jak Imię, Opiekun, Email, Adres, Uwagi lub Znane Alergie.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przejęcia konta lub wykonania nieautoryzowanych działań w systemie szpitalnym, co może naruszyć poufność danych pacjentów.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji oraz zastosować filtrowanie i walidację danych wejściowych we wszystkich polach formularza dodawania pacjenta.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) issue in Add Patient Form in QDOCS Smart Hospital Management System 3.1 allows a remote attacker to inject arbitrary code via the Name, Guardian Name, Email, Address, Remarks, or Any Known Allergies field.