BDU:2023-04945

Опубликовано: 20 авг. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость файла /patient/appointment.php. системы управления малыми медицинскими учреждениями SourceCodester Free Hospital Management System for Small Practices связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные SQL-запросы к базе данных

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

SourceCodester Free Hospital Management System for Small Practices

Версия ПО

1.0 (SourceCodester Free Hospital Management System for Small Practices)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности обращений к серверу базы данных;

- ограничение доступа к промышленным системам из общедоступных сетей (Интернет);

- сегментирование сети с целью ограничения доступа к промышленным системам из других подсетей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-4441
CVE

EPSS

Процентиль: 14%

0.00045

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-4441

CVSS3: 6.3

nvd

больше 2 лет назад

A vulnerability was found in SourceCodester Free Hospital Management System for Small Practices 1.0. It has been declared as critical. This vulnerability affects unknown code of the file /patient/appointment.php. The manipulation of the argument sheduledate leads to sql injection. The attack can be initiated remotely. VDB-237562 is the identifier assigned to this vulnerability.

GHSA-wpmv-5vqj-jc9f