CVE-2026-15072: SQL Injection w wtyczce KiviCare dla WordPress

Co wiadomo

Wtyczka KiviCare – Clinic & Patient Management System dla WordPress jest podatna na SQL Injection poprzez parametr 'orderby' we wszystkich wersjach do 4.5.0 włącznie. Atak wymaga konta z uprawnieniami lekarza lub wyższymi i pozwala na wyciągnięcie wrażliwych danych z bazy.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z rolą lekarza, recepcjonisty lub administratora kliniki wykonanie dodatkowych zapytań SQL, co może prowadzić do wycieku poufnych informacji medycznych. Może to narazić placówki medyczne na naruszenie prywatności pacjentów oraz konsekwencje prawne i reputacyjne.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki KiviCare i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do kont z uprawnieniami lekarza i wyższymi, monitorować logi pod kątem podejrzanych zapytań SQL oraz przeprowadzić audyt bezpieczeństwa bazy danych. Priorytetem jest minimalizacja ryzyka poprzez kontrolę dostępu i szybkie reagowanie na incydenty.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference