PT-2022-21254 · Unknown · Hospital'S Patient Records Management System

K0Xx11 · Publicado 2022-06-14 · Atualizado 2022-06-21 · CVE-2022-32351

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Gerenciamento de Registros de Pacientes do Hospital, versão 1.0

Descrição

O problema diz respeito a uma vulnerabilidade de injeção de SQL por meio do endpoint da API /hprms/classes/Master.php?f=delete message. Isso permite o acesso não autorizado e a manipulação de registros de pacientes.

Recomendações

Para o Sistema de Gerenciamento de Registros de Pacientes do Hospital, versão 1.0, considere desativar o acesso ao endpoint /hprms/classes/Master.php?f=delete message até que uma correção esteja disponível. Restrinja os parâmetros de entrada para evitar ataques de injeção de SQL. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-32351

Produtos afetados

Hospital'S Patient Records Management System

Referências · 4

• 🔥 https://github.com/k0xx11/bug_report/blob/main/vendors/oretnom23/hospitals-patient-records-management-system/SQLi-16.md · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-32351 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-32351 · Aviso do Fabricante
• https://t.me/cibsecurity/44423 · Publicação no Telegram