PT-2026-139990
CVE-2026-124477
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
Description
يمكن للمستخدمين المصرح لهم ذوي الصلاحيات المنخفضة حذف سجلات استدعاء المرضى التعسفية بسبب فقدان التفويض. يحدث هذا عند استخدام إجراء
delete Recall لإرسال طلبات POST إلى نقطة النهاية '/interface/main/messages/save.php'. من خلال توفير pid و r ID مستهدفين، يمكن للمهاجم إزالة بيانات الاستدعاء لأن النظام يفشل في إجراء فحوصات قائمة التحكم في الوصول (ACL) أو ملكية البيانات.Recommendations
التحديث إلى الإصدار 8.3.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/interface/main/messages/save.php' أو إجراء
delete Recall للمستخدمين ذوي الصلاحيات المنخفضة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾