CVE-2026-15453

Nome do Software Vulnerável e Versões Afetadas KiviCare – Clinic & Patient Management System (EHR) versões anteriores a 4.5.2

Descrição Existe um problema onde atacantes autenticados com acesso de nível personalizado ou superior podem realizar uma Injeção de SQL genérica. Isso ocorre devido à escape insuficiente da entrada fornecida pelo usuário e à falta de preparação adequada da consulta SQL. Atacantes com uma função personalizada do KiviCare que possua a permissão settings view, como Médico ou Recepcionista, podem anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados. A falha é acionada através do parâmetro searchTerm.

Recomendações Atualize o plugin para uma versão posterior à 4.5.1. Evite usar o parâmetro searchTerm se o usuário possuir permissões de settings view até que a atualização seja aplicada.