CVE-2026-15453

Wtyczka KiviCare dla WordPressa przed wersją 4.5.5 nie przeprowadza kontroli autoryzacji na niektórych punktach końcowych REST, co umożliwia nieuwierzytelnionym atakującym ujawnienie listy pacjentów oraz, gdy skonfigurowana jest bramka płatności, sekretnego klucza bramki płatności.

Wtyczka KiviCare dla WordPressa przed wersją 4.5.2 nie ogranicza ról, które można przypisać przez nieuwierzytelniony punkt końcowy rejestracji. Umożliwia to nieuwierzytelnionym atakującym utworzenie aktywnego, uprzywilejowanego konta personelu kliniki (lekarza) z pełnym dostępem do danych pacjentów, rozliczeń i danych kliniki.

Wtyczka WordPress KiviCare przed wersją 4.5.2 nie odpowiednio sanityzuje i escapuje parametry dostarczane przez użytkownika przed użyciem ich w zapytaniu SQL. Zalogowani użytkownicy z rolą personelu kliniki mogą przeprowadzić atak SQL injection.

Wtyczka WordPress KiviCare przed wersją 4.5.2 nie weryfikuje, czy żądający użytkownik jest właścicielem rekordów, do których uzyskuje dostęp. Zalogowani użytkownicy na poziomie pacjenta mogą czytać rachunki, faktury i szczegóły wizyt innych pacjentów.

Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' we wszystkich wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie lekarza lub wyższym do dołączania dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.

Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 'orderby' w wersjach do 4.5.0 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL.

Wtyczka KiviCare – Clinic & Patient Management System (EHR) dla WordPressa w wersjach do 4.4.0 włącznie zawiera podatność polegającą na pominięciu autoryzacji. Niezalogowani atakujący mogą oznaczać dowolne oczekujące wizyty jako potwierdzone i tworzyć fałszywe rekordy płatności, całkowicie pomijając proces płatności.

W wersjach KiviCare <= 4.2.1 występuje podatność na niebezpieczne bezpośrednie odniesienia do obiektów (IDOR) dla subskrybentów.