CVE-2026-13497
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 — wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie zarządzania szpitalem itsourcecode w wersji 1.0 wykryto podatność SQL Injection w pliku /appointment.php. Nieznana funkcja tego pliku nieprawidłowo przetwarza argument editid, co umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie manipulować zapytaniami SQL, co grozi nieautoryzowanym dostępem do bazy danych, wyciekiem wrażliwych danych pacjentów i personelu medycznego oraz potencjalną utratą integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. W międzyczasie zaleca się walidację i sanityzację wszystkich danych wejściowych, szczególnie parametru editid w pliku /appointment.php.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in itsourcecode Hospital Management System 1.0. The impacted element is an unknown function of the file /appointment.php. This manipulation of the argument editid causes sql injection. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized.