CVE-2026-111312
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W OpenHealth do wersji 0.2.0 występuje podatność braku uwierzytelniania i autoryzacji w handlerach GET, PATCH i DELETE /api/health-data/[id], które odpytują rekordy po identyfikatorze bez sprawdzania sesji lub authorId. Nieuwierzytelnieni atakujący znający identyfikator rekordu HealthData mogą odczytać dane medyczne innego użytkownika i metadane plików, nadpisać je dowolnym JSON-em lub usunąć.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą uzyskać dostęp do danych medycznych innych użytkowników, co stanowi poważne naruszenie poufności i może prowadzić do wycieku wrażliwych informacji zdrowotnych. Możliwe jest również nadpisanie lub usunięcie rekordów, co narusza integralność danych.
Rekomendacja
Zaktualizuj OpenHealth do wersji nowszej niż 0.2.0, jeśli jest dostępna, lub wdróż kontrolę sesji i weryfikację authorId we wszystkich handlerach /api/health-data/[id]. Ogranicz dostęp do API wyłącznie dla uwierzytelnionych i uprawnionych użytkowników.
Powiązane podatności
- CVE-2026-111472Krytyczne
W oprogramowaniu TSG Profleet wykryto podatność na wstrzyknięcie SQL. Atakujący może odczytywać, tworzyć, modyfikować i usuwać dane z bazy danych, wysyłając żądanie GET z parametrem 'Identificación' do endpointu '/cgi-bin/index.php'.
- CVE-2026-94388Krytyczne
Wtyczka Green Popups (halfdata-green-popups) zawiera podatność typu SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Podatność umożliwia atakującemu przeprowadzenie ślepego wstrzyknięcia SQL.
- CVE-2026-94169Krytyczne
Wtyczka The Grid (the-grid) zawiera podatność typu Code Injection wynikającą z niewłaściwej kontroli generowania kodu. Podatność umożliwia atakującemu wstrzyknięcie i wykonanie dowolnych poleceń.
- CVE-2026-104730Krytyczne
Wtyczka Sunshine Photo Cart – Client Photo Gallery & Photo Proofing for Photographers dla WordPressa jest podatna na wstrzyknięcie obiektu PHP we wszystkich wersjach do 3.7.4 włącznie, poprzez deserializację niezaufanych danych wejściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie obiektu PHP, jednak bez łańcucha POP w podatnej wtyczce nie ma to bezpośredniego wpływu.
- CVE-2026-89079Krytyczne
Wtyczka Theme My Login dla WordPressa jest podatna na eskalację uprawnień poprzez przejęcie konta w wersjach do 7.2.1 włącznie. Wynika to z braku właściwej weryfikacji tożsamości użytkownika przed aktualizacją hasła, co umożliwia nieuwierzytelnionym atakującym zmianę haseł dowolnych użytkowników w konfiguracjach multi-site.
- CVE-2026-103768Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 3.3.7 włącznie poprzez funkcję initMailPart. Wynika to z niewystarczającej walidacji typu pliku podczas zapisywania załączników e-mail IMAP, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.
- CVE-2026-109515Krytyczne
Wtyczka MailOptin dla WordPressa (wersje do 1.2.78.6 włącznie) jest podatna na eskalację uprawnień. Endpoint subscribe_to_email_list przyjmuje parametr optin_data[form_custom_field_mappings] bez walidacji, co pozwala nadpisać mapowanie administratora i przekazać dowolne kolumny tabeli wp_users (w tym ID i user_pass) do funkcji wp_insert_user().
- CVE-2026-109219Krytyczne
Wtyczka Mang Board dla WordPressa (wersje do 2.4.4 włącznie) jest podatna na dowolne przesyłanie plików poprzez funkcję mbw_file_upload. Brak walidacji rozszerzenia pliku w parametrze image_path pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-104798Krytyczne
Wtyczka My Calendar – Accessible Event Manager dla WordPressa (wersje do 3.8.7 włącznie) jest podatna na eskalację uprawnień. Parametr mcs jest odzwierciedlany bez sanityzacji, co pozwala nieuwierzytelnionemu atakującemu wstrzyknąć zagnieżdżony shortcode [my_calendar above=...], a następnie wywołać dowolne funkcje PHP poprzez call_user_func(), w tym edit_user(), co prowadzi do przejęcia konta administratora.
- CVE-2026-111444Krytyczne
Wheels do wersji 4.1.2 pozwala na wstrzyknięcie SQL na MySQL/MariaDB z włączonym escapowaniem backslashy (brak NO_BACKSLASH_ESCAPES), gdy aplikacja przekazuje dane żądania do ścieżek inline-literal. Dotyczy to zapytań z parameterize=false, list IN oraz miejsc w where, które parser nie binduje, takich jak granice BETWEEN, argumenty funkcji i literały LIKE ESCAPE.
Oryginalny opis (angielski, źródło NVD)
OpenHealth through 0.2.0 contains a missing authentication and authorization vulnerability in the /api/health-data/[id] GET, PATCH and DELETE handlers that query records by id without session or authorId checks. Unauthenticated attackers who know a HealthData record id can read another user's medical record data and file metadata, overwrite it with arbitrary JSON, or delete it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS