CVE-2026-13612
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress KiviCare przed wersją 4.5.2 nie weryfikuje, czy żądający użytkownik jest właścicielem rekordów, do których uzyskuje dostęp. Zalogowani użytkownicy na poziomie pacjenta mogą czytać rachunki, faktury i szczegóły wizyt innych pacjentów.
Ocena ryzyka
Poważne naruszenie prywatności pacjentów, w tym dane medyczne i finansowe. Może to prowadzić do naruszeń RODO i utraty zaufania do placówki medycznej.
Rekomendacja
Zaktualizuj wtyczkę KiviCare do wersji 4.5.2 lub nowszej. Wdróż kontrolę dostępu opartą na własności rekordów.
Oryginalny opis (angielski, źródło NVD)
The KiviCare WordPress plugin before 4.5.2 does not verify that the requesting user owns the records being accessed, allowing authenticated patient-level users to read other patients' bills, invoices and appointment details.