CVE-2026-90858
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W projekcie subhajitkhan online-clinic-management-system w wersji do e9ee77a8827a1446220fa07ee693dc4d9a29a578 znaleziono lukę. Dotyczy ona funkcji session_start w pliku adminappview.php. Manipulacja argumentem adminmail może prowadzić do obejścia autoryzacji. Atak może być zainicjowany zdalnie, a exploit został opublikowany i może być wykorzystany. Projekt działa w modelu ciągłego wydawania, więc brak szczegółów wersji. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Podatność pozwala zdalnemu atakującemu na obejście autoryzacji i uzyskanie dostępu do chronionych funkcji, co może prowadzić do nieautoryzowanych działań. Ryzyko jest wysokie, ponieważ exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Rekomendacja
Ze względu na brak odpowiedzi od projektu, zaleca się zaprzestanie korzystania z tego oprogramowania lub wdrożenie własnych poprawek weryfikujących autoryzację w pliku adminappview.php. Monitoruj dostęp do tego pliku i ogranicz dostęp do aplikacji.
Inne podatności w online-clinic-management-system
Zobacz wszystkie- CVE-2026-78246Wysokie
Podatność na wstrzykiwanie SQL w Online Clinic Management System 1.0, w pliku success/login.php, w komponencie logowania administratora. Manipulacja argumentem Username prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie.
- CVE-2026-90805Wysokie
W aplikacji online-clinic-management-system wykryto lukę w pliku doctorlogin.php, polegającą na manipulacji argumentami doc_mail/doc_pswd prowadzącej do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a publicznie dostępny exploit może być już wykorzystywany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-90701Wysokie
Wykryto podatność w systemie online-clinic-management-system (autorstwa subhajitkhan) w pliku listdoctor.php. Manipulacja argumentem searchtext prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in subhajitkhan online-clinic-management-system up to e9ee77a8827a1446220fa07ee693dc4d9a29a578. Affected by this vulnerability is the function session_start of the file adminappview.php. Executing a manipulation of the argument adminmail can lead to authorization bypass. The attack may be launched remotely. The exploit has been published and may be used. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS