CVE-2026-15073
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' we wszystkich wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie lekarza lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży poufnych danych pacjentów i kliniki, takich jak dokumentacja medyczna, dane osobowe czy informacje finansowe, przez osoby z uprawnieniami lekarza, recepcjonisty lub administratora kliniki.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę KiviCare do wersji nowszej niż 4.5.0, jeśli taka jest dostępna, lub zastosować tymczasowe zabezpieczenia, takie jak ograniczenie dostępu do REST API dla zaufanych użytkowników.
Inne podatności w KiviCare
Zobacz wszystkie- CVE-2026-15453Średnie
Wtyczka KiviCare dla WordPressa do wersji 4.5.1 włącznie jest podatna na ogólną iniekcję SQL przez parametr 'searchTerm'. Uwierzytelnieni atakujący z dostępem na poziomie niestandardowym mogą wstrzykiwać dodatkowe zapytania SQL i wyciągać wrażliwe dane z bazy.
- CVE-2026-13610Wysokie
Wtyczka KiviCare dla WordPressa przed wersją 4.5.2 nie ogranicza ról, które można przypisać przez nieuwierzytelniony punkt końcowy rejestracji. Umożliwia to nieuwierzytelnionym atakującym utworzenie aktywnego, uprzywilejowanego konta personelu kliniki (lekarza) z pełnym dostępem do danych pacjentów, rozliczeń i danych kliniki.
- CVE-2026-13613Wysokie
Wtyczka WordPress KiviCare przed wersją 4.5.2 nie odpowiednio sanityzuje i escapuje parametry dostarczane przez użytkownika przed użyciem ich w zapytaniu SQL. Zalogowani użytkownicy z rolą personelu kliniki mogą przeprowadzić atak SQL injection.
- CVE-2026-13612Średnie
Wtyczka WordPress KiviCare przed wersją 4.5.2 nie weryfikuje, czy żądający użytkownik jest właścicielem rekordów, do których uzyskuje dostęp. Zalogowani użytkownicy na poziomie pacjenta mogą czytać rachunki, faktury i szczegóły wizyt innych pacjentów.
- CVE-2026-15072Średnie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' w wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.
- CVE-2026-11990Średnie
Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa w wersjach do 4.4.0 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Niezalogowani atakujący mogą oznaczać dowolne oczekujące wizyty jako potwierdzone i tworzyć fałszywe rekordy płatności, całkowicie pomijając proces płatności.
- CVE-2026-40792Średnie
W wersjach KiviCare <= 4.2.1 występuje podatność na niebezpieczne bezpośrednie odniesienia do obiektów (IDOR) dla subskrybentów.
Oryginalny opis (angielski, źródło NVD)
The KiviCare – Clinic & Patient Management System (EHR) plugin for WordPress is vulnerable to generic SQL Injection via the 'orderby' parameter in all versions up to, and including, 4.5.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Doctor-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. Exploitation requires a KiviCare Doctor, Receptionist, or Clinic Admin role at minimum, as the vulnerable REST endpoint is restricted to authenticated users with custom plugin-level access.