CVE-2026-13381

WysokieCVSS 8.1

Opublikowano: 20/07/2026(UTC)Zaktualizowano: 14/08/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

VSee Clinic 7.1.26 i API 1.3.0 zawierają podatność IDOR w endpointcie /v1.3.0/api/files. Uwierzytelniony atakujący może manipulować parametrem 'remark', aby wyliczać, pobierać i usuwać pliki innych użytkowników.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych pacjentów lub usunąć krytyczne pliki, co narusza integralność i poufność systemu.

Rekomendacja

Zaktualizuj VSee Clinic i API do najnowszej wersji oraz wdróż mechanizmy kontroli dostępu na poziomie obiektów.

Inne podatności w VSee Clinic

CVE-2026-13380Wysokie
Aplikacje VSee Clinic 7.1.26 i VSee Clinic API 1.3.0 ujawniają poświadczenia SFTP w postaci jawnego tekstu w odpowiedziach HTTP trzech nieuwierzytelnionych endpointów. Poświadczenia są obecne tylko wtedy, gdy skonfigurowano połączenia SFTP. Nie jest wymagane uwierzytelnienie. Nieuwierzytelniony zdalny atakujący, który zaobserwuje te odpowiedzi HTTP, może uzyskać poświadczenia i uzyskać dostęp do powiązanego serwera SFTP.

Oryginalny opis (angielski, źródło NVD)

VSee Clinic 7.1.26 and API 1.3.0 contain an Insecure Direct Object Reference (IDOR) vulnerability in the /v1.3.0/api/files endpoint. An authenticated attacker can manipulate the 'remark' request parameter to enumerate, retrieve, and delete files belonging to other users on the application server.