PT-2026-61708 · Vsee · Clinic

Chris Jones + 2 · CVE-2026-13381 · Publicado 2026-07-20 · Atualizado 2026-07-20

NVD

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

VSee Clinic 7.1.26 and API 1.3.0 contain an Insecure Direct Object Reference (IDOR) vulnerability in the /v1.3.0/api/files endpoint. An authenticated attacker can manipulate the 'remark' request parameter to enumerate, retrieve, and delete files belonging to other users on the application server.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-13381

Produtos afetados

Clinic

Referências · 3

• https://labs.sra.io/posts/vseeclinic · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-13381 · Nota de Segurança
• https://vsee.com/clinic · Nota