PT-2026-139993
CVE-2026-124480
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.4.0
Description
يسمح تجاوز تفويض للمستخدمين المصرح لهم ذوي الامتيازات المنخفضة بالوصول إلى بيانات FHIR QuestionnaireResponse الخاصة بمرضى آخرين. من خلال استخدام قيمة
api csrf token js المكشوفة في الجلسة ضمن ترويسة APICSRFTOKEN، يمكن للمهاجم تخطي فحوصات نطاق FHIR. يتيح ذلك استدعاء نقطة النهاية GET '/fhir/QuestionnaireResponse' بشكل غير مصرح به لتسريب معلومات صحية محمية (PHI) من إجابات الاستبيانات على مستوى الموقع بالكامل.Recommendations
التحديث إلى الإصدار 8.4.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾