PT-2026-139980
CVE-2026-124466
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.4.0
Description
توجد ثغرة تسمح للمهاجمين غير المصرح لهم بجعل الخادم يرسل طلبات HTTP عن طريق تسجيل عميل OAuth2 باستخدام
jwks uri غير مُتحقق منه. يمكن تفعيل ذلك عبر نقطة نهاية فحص الرمز (token introspection endpoint) باستخدام client assertion غير موقع، مما يسمح بفحص الخدمات الداخلية والوصول إلى نقاط نهاية بيانات cloud metadata. تزوير الطلبات من جهة الخادم (Server-side request forgery) هو خلل يتم فيه خداع الخادم لإرسال طلبات إلى موقع غير مقصود.Recommendations
التحديث إلى الإصدار 8.4.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾