PT-2026-137729
CVE-2026-104138
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
الوصف
توجد مشكلة حيث تقوم نقاط نهاية محددة بالتحقق من CSRF ولكنها لا تفرض ACL (قائمة التحكم في الوصول) الخاصة بـ patients/med، والمستخدمة في صفحة تقرير CQM الأساسية. تقبل نقاط النهاية هذه متغير
report id غير محدد النطاق، مما يسمح لمستخدم مصرح له بصلاحيات منخفضة بالوصول إلى منطق إنشاء وتنزيل التقارير الأخرى. يمكن أن يؤدي ذلك إلى كشف المستندات السريرية QRDA من الفئة الأولى والثالثة للمرضى ضمن مقياس معين. نقاط النهاية المتأثرة هي 'custom/ajax download.php' و 'custom/download qrda.php' و 'custom/export qrda xml.php' و 'custom/qrda download.php'.التوصيات
التحديث إلى الإصدار 8.3.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾