PT-2026-139967
CVE-2026-124451
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.4.0
Description
يوجد تجاوز لصلاحيات التفويض في تنفيذ SMART on FHIR. تحدث هذه المشكلة لأن الدالة
checkUserHasAccessToPatient() في ملف BearerTokenAuthorizationStrategy.php تعيد القيمة true بشكل غير مشروط. يسمح هذا للمستخدمين المصرح لهم أو تطبيقات SMART الخبيثة بالتلاعب بسياق إطلاق الرمز لربط الطلبات بـ UUIDs عشوائية للمرضى، مما يؤدي إلى وصول غير مصرح به للقراءة والكتابة لموارد FHIR الخاصة بمرضى آخرين.Recommendations
التحديث إلى الإصدار 8.4.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد استخدام الدالة
checkUserHasAccessToPatient() في ملف BearerTokenAuthorizationStrategy.php حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾