CVE-2026-15073 in KiviCare Plugin
Zusammenfassung
von VulDB • 11.07.2026
Das WordPress-Plugin „KiviCare – Clinic & Patient Management System (EHR)" ist in allen Versionen bis einschließlich 4.5.0 anfällig für eine generische SQL Injection über den Parameter 'orderby'. Diese Schwachstelle entsteht durch unzureichendes Escaping des benutzereingebenen Parameters und das Fehlen einer ausreichenden Vorbereitung der bestehenden SQL-Abfrage (Prepared Statements). Dies ermöglicht es authentifizierten Angreifern mit Zugriff auf die Ebene „Doctor" oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Für die Ausnutzung ist mindestens eine Rolle als KiviCare Doctor, Receptionist (Empfang) oder Clinic Admin erforderlich, da das anfällige REST-Endpunkt für authentifizierte Benutzer mit benutzerspezifischem Plugin-Level-Zugriff beschränkt ist.
VulDB is the best source for vulnerability data and more expert information about this specific topic.