CVE-2022-36202
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Doctor's Appointment System 1.0 zawiera podatność na nieprawidłową kontrolę dostępu w pliku edoc/patient/settings.php. Brak autoryzacji umożliwia atakującemu manipulację parametrem id, co prowadzi do naruszenia dostępu do danych innych pacjentów.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wrażliwych danych pacjentów, co może skutkować wyciekiem informacji medycznych i naruszeniem przepisów o ochronie danych osobowych.
Rekomendacja
Należy niezwłocznie zaimplementować mechanizmy autoryzacji w pliku settings.php, sprawdzające uprawnienia użytkownika przed przetworzeniem parametru id. Zaleca się również aktualizację systemu do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
Doctor's Appointment System1.0 is vulnerable to Incorrect Access Control via edoc/patient/settings.php. The settings.php is affected by Broken Access Control (IDOR) via id= parameter.