PT-2024-16737 · Sourcecodester · Sourcecodester Hospital Management System

Salah Tayeh · Publicado 2024-11-11 · Atualizado 2024-11-18 · CVE-2024-11073

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do software vulnerável e versões afetadas

Sistema de Gestão Hospitalar SourceCodester versão 1.0

Descrição

Foi identificada uma vulnerabilidade no Sistema de Gestão Hospitalar SourceCodester, afetando uma parte desconhecida do arquivo /vm/patient/delete-account.php. A manipulação do argumento id leva a uma autorização inadequada, permitindo ataques remotos. Esse problema pode resultar na exclusão não autorizada de contas de pacientes.

Recomendações

Atualize para a versão mais recente do Sistema de Gestão Hospitalar SourceCodester para mitigar os riscos.

Como solução temporária, considere restringir o acesso ao endpoint /vm/patient/delete-account.php até que um patch esteja disponível.

Revise os controles de acesso para impedir ações não autorizadas.

Exploit

Correção

Improper Authorization

Incorrect Privilege Assignment

IDOR

Enumeração de Fraquezas

CWE-285

CWE-266

CWE-639

Identificadores relacionados

CVE-2024-11073

Produtos afetados

Sourcecodester Hospital Management System

Referências · 25

• 🔥 https://vuldb.com/?submit.440799 · Exploit
• 🔥 https://drive.google.com/file/d/1yFo0re8taTry7oR4-EDg3UHwO2lkqO9N/view?usp=sharing · Exploit
• 🔥 https://github.com/Salah-Tayeh/CVEs-and-Vulnerabilities/blob/main/Hospital%20Management%20System%20-%20IDOR%20Causing%20Deletion%20of%20any%20patient%20account.md · Exploit
• https://twitter.com/transilienceai/status/1857478608987799819 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1857478662993621307 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1857478650129678619 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1856022658644627791 · Publicação no Twitter
• https://sourcecodester.com · Nota
• https://twitter.com/transilienceai/status/1857291835305009569 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-11073 · Nota de Segurança
• https://twitter.com/transilienceai/status/1857291858281427403 · Publicação no Twitter
• https://vuldb.com/?ctiid.283869 · Nota
• https://twitter.com/transilienceai/status/1857291827050594558 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1857291869975179569 · Publicação no Twitter
• https://twitter.com/transilienceai/status/1857478617376371043 · Publicação no Twitter