Към съдържанието
Търсене

CVE-2026-11990: iqonicdesign KiviCare – Clinic & Patient Management

5.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

The KiviCare – Clinic & Patient Management System (EHR) plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.4.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to mark arbitrary pending appointments as Confirmed and forge an associated completed payment record in wp_kc_payments_appointment_mappings using an attacker-supplied payment ID, bypassing payment entirely. This exploit is achievable on a default installation because the gateway resolution logic returns all registered gateways regardless of admin-enabled status, making the manual (KCPayLater) gateway always selectable.

Засегнати продукти

  • iqonicdesign KiviCare – Clinic & Patient Management System (EHR): до 4.4.0

Вид слабост

История

  • 10 юли 2026 Публикувано

Други уязвимости в iqonicdesign KiviCare – Clinic & Patient Management System (EHR)

Първоизточници

CVE-2026-11990: iqonicdesign KiviCare – Clinic & Patient Management | freedomonline.bg