PT-2026-132105
CVE-2026-49142
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.5.0
Description
يوجد ثغرة حقن SQL تتطلب مصادقة في وحدة Syndromic Surveillance. يمكن للمستخدمين الذين لديهم صلاحيات بمستوى Clinician قراءة وتعديل محتويات قاعدة البيانات التعسفية عن طريق إرسال قيم مصممة خصيصاً إلى معامل POST
form icd codes[] في نقطة النهاية 'syndromicsurveillance/index'. تسمح هذه المشكلة باستخدام جملة IN() رقمية غير مقتبسة وجملة UNION DISTINCT SELECT باستخدام قيم حرفية مشفرة بنظام hex لإساءة استخدام دالة extractvalue() في MySQL لاستخراج هاشات كلمات مرور bcrypt بناءً على الأخطاء. بالإضافة إلى ذلك، يمكن تنفيذ استعلامات متراكمة لإعادة تعيين كلمات المرور، مما يؤدي إلى الاستيلاء الكامل على الحساب الإداري.Recommendations
التحديث إلى الإصدار 8.5.0.
تقييد الوصول إلى نقطة النهاية 'syndromicsurveillance/index' أو تجنب استخدام المعامل
form icd codes[] حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾