CVE-2026-11990

Nome do Software Vulnerável e Versões Afetadas KiviCare – Clinic & Patient Management System (EHR) versões anteriores a 4.4.1

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem explorar isso para marcar agendamentos pendentes como Confirmados e forjar registros de pagamento concluídos na tabela wp kc payments appointment mappings usando um ID de pagamento fornecido, ignorando completamente o processo de pagamento. Isso é possível em instalações padrão porque a lógica de resolução de gateway retorna todos os gateways registrados, independentemente do status de ativação do administrador, tornando o gateway manual (KCPayLater) sempre selecionável através do endpoint REST /payment-success.

Recomendações Atualize o plugin para uma versão posterior à 4.4.0. Restrinja o acesso ao endpoint REST /payment-success para minimizar o risco de exploração.