PT-2026-140003
CVE-2026-124490
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.3.0
Description
توجد ثغرة تجاوز المسار (path traversal) في دالة
disposeDocument() الخاصة بـ RingCentral RCFaxClient ضمن وحدة oe-module-faxsms. يمكن للمهاجمين المصرح لهم قراءة وكتابة ملفات عشوائية من خلال التلاعب بمعامل file path. باستخدام action=download يمكن للمهاجم الوصول إلى بيانات الاعتماد والشيفرة المصدرية، أو استخدام action=setup مع محتوى بتنسيق base64 لكتابة ملفات قابلة للتنفيذ عبر الويب، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.Recommendations
التحديث إلى الإصدار 8.3.0 أو إصدار أحدث.
تقييد الوصول إلى دالة
disposeDocument() في وحدة oe-module-faxsms كإجراء تخفيف مؤقت. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾