Уязвимость XSS в online-clinic-management-system (CVE-2026-115246)

В проекте subhajitkhan online-clinic-management-system — open-source системе управления клиникой — выявлена уязвимость межсайтового скриптинга (cross site scripting, XSS). Проблема затрагивает обработку пользовательского ввода в одном из PHP-скриптов и позволяет злоумышленнику выполнять произвольный код в браузере жертвы.

Подробности

Уязвимость присутствует в версиях проекта вплоть до коммита e9ee77a8827a1446220fa07ee693dc4d9a29a578 включительно. Проблема локализована в файле patdocmsg.php, где манипуляция аргументом Query приводит к внедрению вредоносного скрипта. Поскольку данные не экранируются должным образом при выводе, атакующий может подставить в параметр специально сформированную полезную нагрузку.

Атака может быть проведена удалённо — для этого достаточно, чтобы жертва (например, сотрудник клиники или пациент) открыла специально подготовленную ссылку или взаимодействовала со страницей, содержащей внедрённый скрипт. Успешная эксплуатация позволяет выполнить JavaScript в контексте сессии пользователя: перехватить cookie, похитить данные или выполнить действия от имени жертвы.

Уязвимости присвоен идентификатор CVE-2026-115246, базовая оценка CVSS — 5.1 (MEDIUM). Эксплойт уже опубликован в открытом доступе, что повышает риск реальных атак. Разработчику проекта проблема была заблаговременно направлена через issue-репорт, однако ответа на момент публикации записи CVE не последовало — исправленная версия официально не выпущена.

Что делать

Поскольку официального патча нет, рекомендуется принять компенсирующие меры:

• Ограничить доступ к patdocmsg.php и административной части приложения — не выставлять систему в открытый интернет без необходимости;
• Внедрить на уровне веб-сервера или WAF фильтрацию и экранирование входных параметров, особенно аргумента Query;
• Настроить строгую Content Security Policy (CSP), ограничивающую выполнение inline-скриптов;
• Установить флаги HttpOnly и Secure для cookie сессий, чтобы снизить последствия возможного перехвата;
• Отслеживать обновления репозитория проекта и установить исправление сразу после его появления;
• При отсутствии поддержки со стороны автора рассмотреть переход на поддерживаемую альтернативу или самостоятельное исправление кода с корректным экранированием вывода.

Итог: CVE-2026-115246 — умеренно опасная, но уже эксплуатируемая на практике XSS-уязвимость в online-clinic-management-system. Отсутствие реакции мейнтейнера и публичный эксплойт делают компенсирующие меры обязательными до выхода официального патча. Организациям, использующим систему в продуктивной среде, следует в первую очередь ограничить сетевой доступ к уязвимому скрипту.

Источник: CVE Project (cvelistV5)