CVE-2026-15072
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' w wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie lekarza lub wyższym może dołączyć dodatkowe zapytania SQL do istniejących, co umożliwia wyodrębnienie wrażliwych danych z bazy, takich jak dane pacjentów czy informacje medyczne.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę KiviCare do wersji nowszej niż 4.5.0, gdy tylko producent wyda łatkę. Do czasu aktualizacji ogranicz dostęp do kont o wysokich uprawnieniach (lekarz, recepcjonista, administrator kliniki).
Inne podatności w KiviCare
Zobacz wszystkie- CVE-2026-15453Średnie
Wtyczka KiviCare dla WordPressa do wersji 4.5.1 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'searchTerm'. Uwierzytelnieni atakujący z dostępem na poziomie niestandardowym mogą wstrzykiwać dodatkowe zapytania SQL i wyciągać wrażliwe dane z bazy.
- CVE-2026-13610Wysokie
Wtyczka KiviCare dla WordPressa przed wersją 4.5.2 nie ogranicza ról, które można przypisać przez nieuwierzytelniony punkt końcowy rejestracji. Umożliwia to nieuwierzytelnionym atakującym utworzenie aktywnego, uprzywilejowanego konta personelu kliniki (lekarza) z pełnym dostępem do danych pacjentów, rozliczeń i danych kliniki.
- CVE-2026-13613Wysokie
Wtyczka WordPress KiviCare przed wersją 4.5.2 nie odpowiednio sanityzuje i escapuje parametry dostarczane przez użytkownika przed użyciem ich w zapytaniu SQL. Zalogowani użytkownicy z rolą personelu kliniki mogą przeprowadzić atak SQL injection.
- CVE-2026-13612Średnie
Wtyczka WordPress KiviCare przed wersją 4.5.2 nie weryfikuje, czy żądający użytkownik jest właścicielem rekordów, do których uzyskuje dostęp. Zalogowani użytkownicy na poziomie pacjenta mogą czytać rachunki, faktury i szczegóły wizyt innych pacjentów.
- CVE-2026-15073Średnie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' we wszystkich wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie lekarza lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-11990Średnie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa w wersjach do 4.4.0 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Niezalogowani atakujący mogą oznaczać dowolne oczekujące wizyty jako potwierdzone i tworzyć fałszywe rekordy płatności, całkowicie pomijając proces płatności.
- CVE-2026-40792Średnie
W wersjach KiviCare <= 4.2.1 występuje podatność na niebezpieczne bezpośrednie odniesienia do obiektów (IDOR) dla subskrybentów.
Oryginalny opis (angielski, źródło NVD)
The KiviCare – Clinic & Patient Management System (EHR) plugin for WordPress is vulnerable to generic SQL Injection via the 'orderby' parameter in all versions up to, and including, 4.5.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with doctor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This requires that the attacker hold at minimum a KiviCare Doctor-level account, or a Receptionist or Clinic Admin role that grants the doctor_session_list capability.