PT-2026-139961
CVE-2026-124445
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات من 7.0.1 إلى 8.3.x
الوصف
يوجد خلل في الملف
src/Common/Auth/OneTimeAuth.php حيث يتجاهل النظام أعلام enforce onetime use و max access count. بالإضافة إلى ذلك، يفشل النظام في إلغاء رموز service auth المستخدمة ويقوم بفحص login pin دون تحديد معدل المحاولات أو إجراء مقارنة صارمة. يسمح هذا للمهاجم الذي يمتلك رمزًا تم التقاطه بإعادة استخدامه أو تنفيذ هجوم القوة الغاشمة على رمز PIN لفتح جلسات بوابة المريض، مما يؤدي إلى كشف معلومات صحية محمية (PHI).التوصيات
تحديث OpenEMR إلى الإصدار 8.4.0 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾