CVE-2026-11990
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa w wersjach do 4.4.0 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Niezalogowani atakujący mogą oznaczać dowolne oczekujące wizyty jako potwierdzone i tworzyć fałszywe rekordy płatności, całkowicie pomijając proces płatności.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane potwierdzanie wizyt i fałszowanie płatności, co może prowadzić do strat finansowych, naruszenia integralności danych oraz problemów z rozliczeniami.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę KiviCare do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się tymczasowe wyłączenie wtyczki lub zastosowanie dodatkowych mechanizmów autoryzacji.
Inne podatności w KiviCare
Zobacz wszystkie- CVE-2026-15453Średnie
Wtyczka KiviCare dla WordPressa do wersji 4.5.1 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'searchTerm'. Uwierzytelnieni atakujący z dostępem na poziomie niestandardowym mogą wstrzykiwać dodatkowe zapytania SQL i wyciągać wrażliwe dane z bazy.
- CVE-2026-13610Wysokie
Wtyczka KiviCare dla WordPressa przed wersją 4.5.2 nie ogranicza ról, które można przypisać przez nieuwierzytelniony punkt końcowy rejestracji. Umożliwia to nieuwierzytelnionym atakującym utworzenie aktywnego, uprzywilejowanego konta personelu kliniki (lekarza) z pełnym dostępem do danych pacjentów, rozliczeń i danych kliniki.
- CVE-2026-13613Wysokie
Wtyczka WordPress KiviCare przed wersją 4.5.2 nie odpowiednio sanityzuje i escapuje parametry dostarczane przez użytkownika przed użyciem ich w zapytaniu SQL. Zalogowani użytkownicy z rolą personelu kliniki mogą przeprowadzić atak SQL injection.
- CVE-2026-13612Średnie
Wtyczka WordPress KiviCare przed wersją 4.5.2 nie weryfikuje, czy żądający użytkownik jest właścicielem rekordów, do których uzyskuje dostęp. Zalogowani użytkownicy na poziomie pacjenta mogą czytać rachunki, faktury i szczegóły wizyt innych pacjentów.
- CVE-2026-15073Średnie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' we wszystkich wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie lekarza lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-15072Średnie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' w wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
- CVE-2026-40792Średnie
W wersjach KiviCare <= 4.2.1 występuje podatność na niebezpieczne bezpośrednie odniesienia do obiektów (IDOR) dla subskrybentów.
Oryginalny opis (angielski, źródło NVD)
The KiviCare – Clinic & Patient Management System (EHR) plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.4.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to mark arbitrary pending appointments as Confirmed and forge an associated completed payment record in wp_kc_payments_appointment_mappings using an attacker-supplied payment ID, bypassing payment entirely. This exploit is achievable on a default installation because the gateway resolution logic returns all registered gateways regardless of admin-enabled status, making the manual (KCPayLater) gateway always selectable.