CVE-2026-2991: KiviCare – Sistema de Gestión de Clínicas y Pacientes (EHR) <= 4.1.2 - Omisión de Autenticación No Autenticada mediante Token de Inicio de Sesión Social | Kitploit

CVE-2026-2991

AltoPublicado

KiviCare – Sistema de Gestión de Clínicas y Pacientes (EHR) <= 4.1.2 - Omisión de Autenticación No Autenticada mediante Token de Inicio de Sesión Social

Publicado: 18 mar 2026
Actualizado: 8 abr 2026
Asignación de CNA: Wordfence
Evidencia observada: 21 ago 2026

CVSS primario

7,3/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Estimación de probabilidad EPSS

0,4 %

Bajo · próximos 30 días

Percentil: 37,1 %
Fecha del modelo: 21 sept 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

Resumen

El plugin KiviCare – Clinic & Patient Management System (EHR) para WordPress es vulnerable a la omisión de autenticación en todas las versiones hasta la 4.1.2, inclusive. Esto se debe a que la función 'patientSocialLogin()' no verifica el token de acceso del proveedor social antes de autenticar a un usuario. Esto hace posible que atacantes no autenticados inicien sesión como cualquier paciente registrado en el sistema proporcionando solo su dirección de correo electrónico y un valor arbitrario para el token de acceso, omitiendo toda verificación de credenciales. El atacante obtiene acceso a registros médicos sensibles, citas, recetas e información de facturación (violación de PII/PHI). Además, las cookies de autenticación se establecen antes de la verificación de rol, lo que significa que las cookies de autenticación para usuarios no pacientes (incluidos los administradores) también se establecen en los encabezados de respuesta HTTP, aunque se devuelve una respuesta 403.

Fuentes

CVE-2026-2991Exploit
Exploit PoC para CVE-2026-2991 — bypass de autenticación en el plugin KiviCare de WordPress (≤4.1.2) que permite la toma de control de cuentas de pacientes sin autenticación y la extracción de sesiones de administrador.

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.