PT-2026-139977
CVE-2026-124462
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
Description
يوجد خلل في المرجع المباشر غير الآمن للكائنات في الدالة
OnSiteDocumentController::Query(). يمكن للمرضى الموثقين عبر البوابة تجاوز حارس التفويض من خلال تقديم معامل Pid بحروف كبيرة. ومن خلال إرسال طلب إلى نقطة النهاية 'api/onsitedocuments' مع تعيين متغير Pid لمعرف مريض آخر، يمكن للمهاجم تجاوز معايير الجلسة المثبتة والوصول إلى المستندات المحلية التي تحتوي على معلومات صحية محمية (PHI) لمرضى آخرين.Recommendations
التحديث إلى الإصدار 8.3.0 أو أحدث.
تجنب استخدام المعامل
Pid في نقطة النهاية 'api/onsitedocuments' لطلب بيانات مستخدمين آخرين.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾