CVE-2026-19417
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka KiviCare dla WordPressa przed wersją 4.5.4 nie weryfikuje, czy żądający użytkownik ma prawo do serwowanego pliku multimedialnego, co pozwala uwierzytelnionym użytkownikom na poziomie pacjenta pobierać dowolne pliki z biblioteki multimediów, w tym raporty medyczne innych pacjentów.
Ocena ryzyka
Ujawnienie poufnych danych medycznych innych pacjentów może naruszyć przepisy o ochronie danych (np. RODO) i zaszkodzić reputacji organizacji.
Rekomendacja
Zaktualizuj wtyczkę KiviCare do wersji 4.5.4 lub nowszej. Natychmiast sprawdź logi dostępu do plików pod kątem nieautoryzowanych pobrań.
Oryginalny opis (angielski, źródło NVD)
The KiviCare WordPress plugin before 4.5.4 does not verify that the requesting user is entitled to the media file being served, allowing authenticated patient-level users to download any file in the media library, including other patients' uploaded medical reports.