KiviCare <= 4.5.0 - Authenticated (Doctor+) SQL Injection via 'orderby' Parameter in KCQueryBuilder en Kivicare Clinic Management System (inyeccion SQL) - version 4.5.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL en el plugin KiviCare hasta la versión 4.5.0, que permite a usuarios autenticados manipular consultas a través del parámetro 'orderby'. Esta falla puede comprometer la integridad de la base de datos y exponer información sensible.

Contexto técnico

El fallo se origina en el módulo KCQueryBuilder del plugin KiviCare, donde el parámetro 'orderby' no está debidamente validado. Esto permite que un atacante autenticado ejecute consultas SQL arbitrarias, afectando la seguridad de la aplicación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes con acceso a la cuenta de doctor realizar acciones no autorizadas, potencialmente accediendo a datos confidenciales de pacientes o alterando información crítica.

Vector de explotación

La explotación se realiza mediante la manipulación del parámetro 'orderby' en solicitudes HTTP enviadas por usuarios autenticados, lo que puede llevar a la ejecución de comandos SQL no deseados.

Mitigación recomendada

Actualizar el plugin KiviCare a la versión 4.5.1 o superior para mitigar la vulnerabilidad. Revisar los registros de acceso para detectar actividades sospechosas relacionadas con consultas SQL. Implementar medidas de seguridad adicionales, como la validación y sanitización de entradas en formularios.

Señales de detección

Señales que pueden indicar explotación incluyen entradas inusuales en los logs de SQL, así como cambios inesperados en la base de datos que no corresponden a actividades legítimas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.5.1 del plugin KiviCare. No se han reportado casos de explotación en versiones posteriores.