CVE-2023-4442
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W systemie Free Hospital Management System for Small Practices 1.0 wykryto krytyczną podatność SQL Injection w pliku booking-complete.php. Atakujący może zdalnie manipulować parametrami userid, apponum lub scheduleid, co prowadzi do wstrzyknięcia kodu SQL.
Ocena ryzyka
Udane wykorzystanie podatności może umożliwić atakującemu nieautoryzowany dostęp do bazy danych, kradzież lub modyfikację wrażliwych danych pacjentów i personelu medycznego.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Do czasu aktualizacji zaleca się ograniczenie dostępu do pliku booking-complete.php oraz walidację wszystkich parametrów wejściowych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in SourceCodester Free Hospital Management System for Small Practices 1.0. It has been rated as critical. This issue affects some unknown processing of the file \vm\patient\booking-complete.php. The manipulation of the argument userid/apponum/scheduleid leads to sql injection. The attack may be initiated remotely. The exploit has been disclosed to the public and may be used. The associated identifier of this vulnerability is VDB-237563.