PT-2026-57379 · Kivicare · Kivicare
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
KiviCare – Clinic & Patient Management System (EHR) versões anteriores a 4.5.1
Descrição
Existe um problema onde atacantes autenticados com acesso de nível de médico ou superior (incluindo funções de Recepcionista ou Administrador da Clínica com a capacidade
doctor session list) podem realizar uma Injeção de SQL genérica. Isso ocorre devido à escape insuficiente do parâmetro orderby fornecido pelo usuário e à falta de preparação adequada da consulta SQL. Essa falha permite que atacantes anexem consultas SQL adicionais às já existentes para extrair informações sensíveis do banco de dados.Recomendações
Atualize para uma versão posterior à 4.5.0.
Evite usar o parâmetro
orderby até que o sistema seja atualizado.Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Kivicare