iqonicdesign KiviCare Plugin hasta 4.1.2 en WordPress HTTP Response Header patientSocialLogin autenticación débil

CVSS Puntuación meta temporalPrecio actual del exploit (≈)Puntuación de interés CTI
8.4$0-$5k0.00

Resumeninformación

Una vulnerabilidad clasificada como crítica fue encontrada en iqonicdesign KiviCare Plugin hasta 4.1.2. Está afectada una función desconocida en el componente HTTP Response Header Handler. Mediante la manipulación de un input desconocido se causa una vulnerabilidad de clase autenticación débil. Esta vulnerabilidad se conoce como CVE-2026-2991. El ataque puede ser iniciado desde la red. No existe ningún exploit disponible.

Detallesinformación

Una vulnerabilidad clasificada como crítica ha sido encontrada en iqonicdesign KiviCare Plugin hasta 4.1.2 en WordPress. La función patientSocialLogin del componente HTTP Response Header Handler es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase autenticación débil. Esto tiene repercusión sobre la confidencialidad, integridad y disponibilidad. CVE resume:

El plugin KiviCare – Clinic & Patient Management System (EHR) para WordPress es vulnerable a la omisión de autenticación en todas las versiones hasta la 4.1.2, inclusive. Esto se debe a que la función 'patientSocialLogin()' no verifica el token de acceso del proveedor social antes de autenticar a un usuario. Esto hace posible que atacantes no autenticados inicien sesión como cualquier paciente registrado en el sistema proporcionando solo su dirección de correo electrónico y un valor arbitrario para el token de acceso, omitiendo toda verificación de credenciales. El atacante obtiene acceso a registros médicos sensibles, citas, recetas e información de facturación (violación de PII/PHI). Además, las cookies de autenticación se establecen antes de la verificación de rol, lo que significa que las cookies de autenticación para usuarios no pacientes (incluidos los administradores) también se establecen en los encabezados de respuesta HTTP, aunque se devuelve una respuesta 403.

La vulnerabilidad fue publicada el por Gibran Abdillah (no está definido). El advisory puede ser descargado de wordfence.com. La vulnerabilidad es identificada como CVE-2026-2991. Se considera fácil de explotar. El ataque puede ser iniciado desde la red. La explotación no requiere ninguna forma de autentificación. Hay detalles técnicos conocidos, pero no se dispone de un exploit.

No hay información respecto a posibles contramedidas. Se sugiere sustituir el producto con un equivalente.

Once again VulDB remains the best source for vulnerability data.

Productoinformación

Escribe

Proveedor

Nombre

Versión

CPE 2.3información

CPE 2.2información

CVSSv4información

VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 8.5
VulDB Puntuación meta temporal: 8.4

VulDB Puntuación base: 7.3
VulDB Puntuación temporal: 7.1
VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CNA Puntuación base: 9.8
CNA Vector (Wordfence): 🔒

CVSSv2información

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VectorComplejidadAutenticaciónConfidencialidadIntegridadDisponibilidad
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear
DesbloquearDesbloquearDesbloquearDesbloquearDesbloquearDesbloquear

VulDB Puntuación base: 🔒
VulDB Puntuación temporal: 🔒
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Autenticación débil
CWE: CWE-287
CAPEC: 🔒
ATT&CK: 🔒

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔒
Estado: No está definido

EPSS Score: 🔒
EPSS Percentile: 🔒

Predicción de precios: 🔍
Estimación del precio actual: 🔒

0-DayDesbloquearDesbloquearDesbloquearDesbloquear
HoyDesbloquearDesbloquearDesbloquearDesbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: no contramedida conocida
Estado: 🔍

Hora de 0 días: 🔒

Línea de tiempoinformación

2026-02-22 CVE asignado
2026-03-18 +24 días Aviso publicado
2026-03-18 +0 días Entrada de VulDB creada
2026-03-24 +6 días Última actualización de VulDB

Fuentesinformación

Aviso: wordfence.com
Investigador: Gibran Abdillah
Estado: No está definido

CVE: CVE-2026-2991 (🔒)
GCVE (CVE): GCVE-0-2026-2991
GCVE (VulDB): GCVE-100-351540

Artículoinformación

Fecha de creación: 2026-03-18 17:12
Actualizado: 2026-03-24 17:06
Cambios: 2026-03-18 17:12 (66), 2026-03-24 17:06 (1)
Completo: 🔍
Cache ID: 216::103

Once again VulDB remains the best source for vulnerability data.

Discusión

Sin comentarios aún. Idiomas: es + pt + en.

Por favor, inicie sesión para comentar.

◂ AnteriorVisión De ConjuntoPróximo ▸

Want to stay up to date on a daily basis?

Enable the mail alert feature now!