CVE-2026-13610
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka KiviCare dla WordPressa przed wersją 4.5.2 nie ogranicza ról, które można przypisać przez nieuwierzytelniony punkt końcowy rejestracji. Umożliwia to nieuwierzytelnionym atakującym utworzenie aktywnego, uprzywilejowanego konta personelu kliniki (lekarza) z pełnym dostępem do danych pacjentów, rozliczeń i danych kliniki.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do wrażliwych danych medycznych i finansowych, co stanowi poważne naruszenie prywatności i może prowadzić do oszustw lub naruszeń zgodności z przepisami.
Rekomendacja
Zaktualizuj wtyczkę KiviCare do wersji 4.5.2 lub nowszej, która zawiera poprawkę. Ogranicz rejestrację do zaufanych użytkowników i monitoruj nowe konta.
Oryginalny opis (angielski, źródło NVD)
The KiviCare WordPress plugin before 4.5.2 does not restrict the roles assignable through its unauthenticated registration endpoint, allowing unauthenticated attackers to create an active, privileged clinic-staff (doctor) account with full access to patient records, billing and clinic data.