PT-2022-15750 · Sourcecodester · Sourcecodester Clinics Patient Management System

Cyberthoth · Publicado 2022-07-12 · Atualizado 2024-09-07 · CVE-2022-2297

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Gerenciamento de Pacientes SourceCodester Clinics, versão 2.0

Descrição

Foi encontrada uma vulnerabilidade crítica no sistema, afetando uma função desconhecida do arquivo /pms/update user.php?user id=1. A manipulação do argumento profile picture com entrada maliciosa, como , leva ao upload irrestrito. Essa vulnerabilidade pode ser explorada remotamente. A exploração já foi divulgada publicamente.

Recomendações

Para o Sistema de Gerenciamento de Pacientes SourceCodester Clinics versão 2.0, considere restringir o acesso ao arquivo /pms/update user.php até que uma correção esteja disponível. Como solução temporária, evite usar o argumento profile picture no endpoint da API afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2022-2297

Produtos afetados

Sourcecodester Clinics Patient Management System

Referências · 6

• 🔥 https://github.com/CyberThoth/CVE/blob/8c6b66919be1bd66a54c16cc27cbdd9793221d3e/CVE/Clinic%27s%20Patient%20Management%20System/Unrestricted%20file%20upload%20%28RCE%29/POC.md · Exploit
• 🔥 https://vuldb.com/?id.203178 · Exploit
• 🔥 https://github.com/CyberThoth/CVE/blob/8c6b66919be1bd66a54c16cc27cbdd9793221d3e/CVE/Clinic\'s%20Patient%20Management%20System/Unrestricted%20file%20upload%20(RCE)/POC.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-2297 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-2297 · Aviso do Fabricante
• https://t.me/cibsecurity/46073 · Publicação no Telegram