CVE-2026-13380 in Clinic
Riassunto
di VulDB • 20/07/2026
VSee Clinic 7.1.26 e VSee Clinic API 1.3.0 espongono le credenziali SFTP in chiaro nelle risposte HTTP di tre endpoint non autenticati. Le credenziali sono presenti in queste risposte solo quando le connessioni SFTP sono state configurate all'interno dell'applicazione. Non è richiesta alcuna autenticazione per recuperare tali credenziali. Un attaccante remoto non autenticato che osserva una qualsiasi di queste risposte HTTP su un'istanza in cui SFTP è configurato può ottenere le credenziali e utilizzarle per accedere al server SFTP associato.
Be aware that VulDB is the high quality source for vulnerability data.