CVE-2026-2991: Błąd uwierzytelniania w wtyczce KiviCare dla WordPress

Co wiadomo

Wtyczka KiviCare – Clinic & Patient Management System dla WordPress do wersji 4.1.2 posiada lukę umożliwiającą obejście uwierzytelniania. Atakujący mogą zalogować się jako dowolny pacjent, podając tylko jego adres e-mail i dowolny token dostępu, co prowadzi do wycieku danych medycznych i osobowych.

Wpływ biznesowy

Luka pozwala nieautoryzowanym osobom na dostęp do wrażliwych danych pacjentów, takich jak rekordy medyczne, wizyty, recepty oraz informacje rozliczeniowe, co stanowi poważne naruszenie prywatności i może skutkować konsekwencjami prawnymi oraz utratą zaufania klientów. Dodatkowo, błędne ustawianie ciasteczek uwierzytelniających może prowadzić do niezamierzonego ujawnienia sesji użytkowników o wyższych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki KiviCare i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do systemu, monitorować logi pod kątem podejrzanych logowań oraz przeprowadzić audyt sesji użytkowników. Priorytetowo traktuj zabezpieczenie środowiska oraz edukację użytkowników w zakresie bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference