CVE-2026-115537
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W aplikacji HospitalManagement (gedelumbung) do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 funkcja simpan w pliku application/modules/admin/controllers/routing_pages.php nieprawidłowo waliduje argument url_route, co prowadzi do otwartego przekierowania (open redirect).
Ocena ryzyka
Atakujący może zdalnie wykorzystać podatność do przekierowania użytkowników na złośliwe strony, co może ułatwić phishing lub kradzież danych logowania; publiczny exploit zwiększa ryzyko.
Rekomendacja
Wprowadź walidację i ograniczenie dozwolonych wartości parametru url_route (np. białą listę), zaktualizuj aplikację, gdy tylko pojawi się poprawka, i rozważ monitorowanie nietypowych przekierowań.
Inne podatności w HospitalManagement
Zobacz wszystkie- CVE-2026-102842Średnie
W aplikacji gedelumbung HospitalManagement wykryto podatność w funkcji cekUserLogin (plik application/models/app_user_login_model.php) w komponencie KCFinder File Manager. Manipulacja argumentem ADMIN_RS_KCFINDER prowadzi do nieograniczonego przesyłania plików. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
- CVE-2026-115536Średnie
W aplikacji HospitalManagement (gedelumbung) do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 funkcja simpan w pliku application/modules/admin/controllers/routing_pages.php nieprawidłowo obsługuje argument content, co prowadzi do podatności cross-site scripting (XSS).
- CVE-2026-102844Niskie
W aplikacji gedelumbung HospitalManagement wykryto podatność w funkcji detail (plik application/modules/admin/controllers/laporan_data_pasien.php). Manipulacja argumentem id_param prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-93532Średnie
gedelumbung HospitalManagement do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 zawiera podatność w funkcji zmiany hasła (password.php::simpan) oraz profilu (profil.php::simpan), gdzie manipulacja argumentem kode_user/username prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-93531Średnie
gedelumbung HospitalManagement do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8 zawiera podatność na cross-site request forgery (CSRF) w nieznanym kodzie. Atak może być zainicjowany zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-92221Średnie
W systemie gedelumbung HospitalManagement (do wersji c2d45543789a3887067d3915f69d44cfc2cf76a8) wykryto podatność w funkcji generate_index_pasien w pliku application/models/app_global_admin_model.php. Manipulacja argumentem 'cari' może prowadzić do iniekcji SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Projekt nie odpowiedział na zgłoszenie problemu.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in gedelumbung HospitalManagement up to c2d45543789a3887067d3915f69d44cfc2cf76a8. This affects the function simpan of the file application/modules/admin/controllers/routing_pages.php of the component URL Validation. This manipulation of the argument url_route causes open redirect. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS