PT-2026-137706
CVE-2026-104139
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
الوصف
توجد مشكلة تسمح للمستخدمين المصرح لهم بتعيين معرف مريض عشوائي في الجلسة النشطة عبر نقطة النهاية 'library/ajax/set pt.php' بسبب غياب فحص قائمة التحكم في الوصول (ACL). لاحقاً، تثق نقطة النهاية 'interface/patient file/download template.php' في قيمة الجلسة هذه، مع فرض التحقق من تزوير الطلبات عبر المواقع (CSRF) فقط. يتيح ذلك لمستخدم ذو صلاحيات منخفضة اختيار مريض آخر وتنزيل نموذج مستند يتضمن بيانات حساسة، مثل البيانات الديموغرافية، ومعلومات الزيارات، والحساسية، والأدوية، وقائمة المشكلات، على الرغم من عدم امتلاكه صلاحية الوصول إلى المرضى/المستندات.
التوصيات
التحديث إلى الإصدار 8.3.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾