CVE-2026-13610
KiviCare < 4.5.2 - पंजीकरण के माध्यम से बिना प्रमाणीकरण के विशेषाधिकार वृद्धि
- प्रकाशित
- 13 अग॰ 2026
- अद्यतन
- 14 अग॰ 2026
- सीएनए असाइन करना
- WPScan
- साक्ष्य देखे गए
- 15 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 33.4%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
KiviCare WordPress प्लगइन 4.5.2 से पहले के संस्करण में, इसके बिना प्रमाणीकरण वाले पंजीकरण एंडपॉइंट के माध्यम से असाइन की जा सकने वाली भूमिकाओं पर कोई प्रतिबंध नहीं है, जिससे बिना प्रमाणीकरण वाले हमलावर रोगी रिकॉर्ड, बिलिंग और क्लिनिक डेटा तक पूर्ण पहुंच वाला एक सक्रिय, विशेषाधिकार प्राप्त क्लिनिक-स्टाफ (डॉक्टर) खाता बना सकते हैं।
स्रोत
KiviCare WordPress प्लगइन में अनुचित विशेषाधिकार प्रबंधन के माध्यम से बिना प्रमाणीकरण के डॉक्टर/रिसेप्शनिस्ट खाता निर्माण के लिए Exploit PoC, जो स्टाफ-स्तरीय PHI पहुंच प्रदान करता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।