PT-2026-137726
CVE-2026-103939
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
الوصف
يفتقر التطبيق إلى فحوصات قائمة التحكم في الوصول (ACL) وتزوير الطلبات عبر المواقع (CSRF) في نقطة النهاية 'interface/modules/custom modules/oe-module-weno/scripts/file download.php' ويتجاهل نتيجة الدالة
validateAdminCredentials(). عندما تكون وحدة Weno مفعلة، يقوم مسار GET الافتراضي باستدعاء الدالة PharmacyService::removeWenoPharmacies() قبل محاولة إعادة الجلب. يسمح هذا لأي مستخدم مصرح له أو طلب عبر المواقع من خلال ضحية مسجلة الدخول بإفراغ جدول weno pharmacy (truncate)، مما قد يؤدي إلى ترك دليل صيدليات الوصفات الإلكترونية فارغاً وغير متاح في حال فشل عملية التنزيل اللاحقة.التوصيات
التحديث إلى الإصدار 8.3.0.
كإجراء تخفيف مؤقت، قم بتعطيل وحدة Weno لمنع الوصول غير المصرح به إلى الوظيفة المتأثرة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾