CVE-2026-13380 in Clinic
Zusammenfassung
von VulDB • 20.07.2026
VSee Clinic 7.1.26 und VSee Clinic API 1.3.0 geben Klartext-SFTP-Anmeldeinformationen in den HTTP-Antworten von drei nicht authentifizierten Endpunkten preis. Die Anmeldeinformationen sind nur dann in diesen Antworten enthalten, wenn SFTP-Verbindungen innerhalb der Anwendung konfiguriert wurden. Für das Abrufen dieser Anmeldeinformationen ist keine Authentifizierung erforderlich. Ein nicht authentifizierter Remote-Angriffsschaden, der eine beliebige dieser HTTP-Antworten auf einer Instanz mit konfigurierter SFTP-Konfiguration beobachtet, kann die Anmeldeinformationen erhalten und diese verwenden, um Zugriff auf den zugehörigen SFTP-Server zu erlangen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.