CVE-2026-13380
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Aplikacje VSee Clinic 7.1.26 i VSee Clinic API 1.3.0 ujawniają poświadczenia SFTP w postaci jawnego tekstu w odpowiedziach HTTP trzech nieuwierzytelnionych endpointów. Poświadczenia są obecne tylko wtedy, gdy skonfigurowano połączenia SFTP. Nie jest wymagane uwierzytelnienie. Nieuwierzytelniony zdalny atakujący, który zaobserwuje te odpowiedzi HTTP, może uzyskać poświadczenia i uzyskać dostęp do powiązanego serwera SFTP.
Ocena ryzyka
Organizacja ryzykuje, że nieuwierzytelniony atakujący może przechwycić poświadczenia SFTP i uzyskać nieautoryzowany dostęp do serwera SFTP, co może prowadzić do wycieku lub modyfikacji danych przechowywanych na tym serwerze.
Rekomendacja
Należy natychmiast zmienić poświadczenia SFTP i skonfigurować aplikację VSee Clinic tak, aby nie ujawniała ich w odpowiedziach HTTP. Zastosować aktualizacje dostarczone przez producenta.
Oryginalny opis (angielski, źródło NVD)
VSee Clinic 7.1.26 and VSee Clinic API 1.3.0 exposes cleartext SFTP credentials in the HTTP responses of three unauthenticated endpoints. The credentials are present in these responses only when SFTP connections have been configured within the application. No authentication is required to retrieve these credentials. An unauthenticated remote attacker who observes any of these HTTP responses on an instance where SFTP is configured can obtain the credentials and use them to access the associated SFTP server.