CVE-2026-14703
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie zarządzania szpitalem itsourcecode Hospital Management System 1.0 znaleziono podatność SQL Injection w pliku /patientorder.php. Nieznana funkcja tego pliku pozwala na manipulację argumentem editid, co umożliwia zdalne wstrzyknięcie kodu SQL. Exploit został ujawniony publicznie.
Ocena ryzyka
Atakujący może zdalnie wykraść, zmodyfikować lub usunąć dane z bazy danych szpitala, co prowadzi do naruszenia poufności i integralności danych pacjentów oraz systemu.
Rekomendacja
Należy natychmiast zaktualizować system do najnowszej wersji lub zastosować poprawkę zabezpieczającą. Dodatkowo, wdrożyć walidację i parametryzację zapytań SQL dla wszystkich wejść użytkownika.
Inne podatności w Hospital Management System
Zobacz wszystkie- CVE-2026-13579Średnie
W systemie itsourcecode Hospital Management System 1.0 wykryto podatność na wstrzykiwanie SQL w pliku /patientchangepassword.php. Poprzez manipulację argumentem newpassword atakujący może zdalnie wykonać nieautoryzowane zapytania do bazy danych. Exploit został opublikowany, co zwiększa ryzyko ataków.
- CVE-2026-13578Średnie
W systemie itsourcecode Hospital Management System 1.0 wykryto podatność SQL Injection w pliku /patientdetail.php. Atakujący może zdalnie manipulować argumentem editid, co prowadzi do wstrzyknięcia kodu SQL. Exploit został opublikowany publicznie.
- CVE-2025-69943Krytyczne
System zarządzania szpitalem kishan0725 w wersji 4.0 jest podatny na iniekcję SQL w pliku get_doctor.php poprzez parametry doctor i specilizationid.
- CVE-2025-69942Krytyczne
System zarządzania szpitalem kishan0725 w wersji 4.0 zawiera podatność na wstrzykiwanie SQL w pliku /hms/doctor/view-patient.php poprzez parametr viewid.
- CVE-2025-65340Krytyczne
Podatność SQL Injection w Hospital Management System 4.0. Atakujący może wstrzyknąć złośliwe zapytanie SQL przez plik /betweendates-detailsreports.php.
- CVE-2026-76991Średnie
W systemie itsourcecode Hospital Management System 1.0 wykryto podatność SQL injection w pliku /viewappointmentapproved.php. Manipulacja argumentem delid umożliwia wstrzyknięcie SQL. Atak może być wykonany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-75086Średnie
W systemie Hospital Management System 1.0 firmy itsourcecode znaleziono podatność SQL injection w pliku /viewroom.php. Manipulacja argumentem delid w nieznanej funkcji umożliwia zdalne wykonanie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-20000Średnie
Podatność SQL injection w systemie zarządzania szpitalem itsourcecode w wersji 1.0, w pliku /viewprescriptionrecord.php, poprzez argument delid. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-19973Średnie
W systemie Hospital Management System w wersji 1.0 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku /viewpaymentreport.php. Manipulacja argumentem delid umożliwia zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-19972Średnie
W systemie Hospital Management System w wersji 1.0 wykryto podatność na wstrzyknięcie SQL w nieznanej funkcji pliku /viewpatient.php. Manipulacja argumentem delid umożliwia zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in itsourcecode Hospital Management System 1.0. Affected is an unknown function of the file /patientorder.php. Such manipulation of the argument editid leads to sql injection. The attack may be performed from remote. The exploit has been disclosed to the public and may be used.