Analityczne wykorzystywanie plików cookies
Luka w KiviCare EHR dla WordPress umożliwia obejście autoryzacji
Wtyczka KiviCare dla WordPress do 4.4.0 pozwala na nieautoryzowane potwierdzanie wizyt i fałszowanie płatności. Zalecane szybkie aktualizacje i monitorowanie systemu.
- CVSS
- 5.3 MEDIUM
- EPSS
- 26.68%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka KiviCare – Clinic & Patient Management System dla WordPress do wersji 4.4.0 ma lukę pozwalającą nieautoryzowanym użytkownikom na potwierdzanie wizyt i fałszowanie powiązanych płatności. Problem wynika z braku odpowiedniej weryfikacji uprawnień oraz błędnej obsługi bramek płatności.
Wpływ biznesowy
Atakujący mogą bez uwierzytelnienia potwierdzać dowolne wizyty i tworzyć fałszywe wpisy płatności, co może prowadzić do nadużyć finansowych i zakłóceń w zarządzaniu kliniką. Luka ta stanowi ryzyko dla integralności danych i procesów biznesowych w placówkach korzystających z tego systemu.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki KiviCare i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu do panelu oraz monitorowanie logów pod kątem nietypowych działań związanych z potwierdzaniem wizyt i płatności. Warto również rozważyć tymczasowe wyłączenie funkcji manualnej bramki płatności KCPayLater.