PT-2026-139963
CVE-2026-124447
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
Description
يوجد خلل في المرجع المباشر غير الآمن للكائنات في دالة
Update() ضمن OnsitePortalActivityController. يقوم النظام بالتحقق من patientId الوارد في الطلب بدلاً من التحقق من المالك الفعلي للسجل المخزن. يمكن للمرضى الموثقين في البوابة استغلال ذلك عن طريق إرسال طلبات PUT إلى نقطة نهاية واجهة برمجة التطبيقات 'onsiteportalactivity' باستخدام معرف نشاط مريض آخر و patientId الخاص بهم. يتيح ذلك للمهاجم الكشف عن بيانات tableArgs وبيانات checksum، وتعديل السرد والحالة، والاستيلاء على ملكية السجل.Recommendations
التحديث إلى الإصدار 8.3.0 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾