PT-2026-139975
CVE-2026-124460
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
Description
يوجد خلل في المرجع المباشر غير الآمن للكائنات في الدالة
PortalPatientController::Read(). يسمح هذا للمرضى الذين تم التحقق من هويتهم بالوصول إلى طلبات تغيير البيانات الديموغرافية المعلقة لمرضى آخرين. من خلال تقديم معرف مريض آخر عبر معامل سلسلة الاستعلام patientId ، يمكن للمهاجم استرداد معلومات صحية محمية (PHI) بما في ذلك الأسماء والعناوين وأرقام الضمان الاجتماعي (SSNs) ومعلومات التأمين.Recommendations
التحديث إلى الإصدار 8.3.0 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الدالة
PortalPatientController::Read() أو المعامل patientId حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾