CVE-2026-31071
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Punkty końcowe API w LalanaChami Pharmacy Management System (commit 5c3d028) nie mają middleware uwierzytelniającego. Nieuwierzytelnieni zdalni atakujący mogą wykorzystać to do wyciągnięcia wszystkich rekordów użytkowników (wraz z haszami haseł bcrypt) przez /api/user/getUserData, modyfikacji stanu leków oraz dostępu do prywatnych danych recept lekarskich przez /api/doctorOder.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych użytkowników, w tym haseł, oraz modyfikować dane medyczne, co stanowi poważne naruszenie prywatności i integralności systemu.
Rekomendacja
Dodaj middleware uwierzytelniające do wszystkich punktów końcowych API w systemie LalanaChami Pharmacy Management System.
Oryginalny opis (angielski, źródło NVD)
API endpoints in LalanaChami Pharmacy Management System (commit 5c3d028) lack authentication middleware. Unauthenticated remote attackers can exploit this to dump all user records (including bcrypt password hashes) via /api/user/getUserData, modify drug inventory, and access private medical prescription data via /api/doctorOder.