PT-2026-146737
CVE-2026-126451
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
8.5
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.5.0
Description
توجد ثغرة cross-site scripting مخزنة تسمح لمرضى البوابة بتنفيذ JavaScript في جلسات الموظفين. يحدث هذا عن طريق حقن URLs من نوع
javascript: في template data. يمكن للمهاجم إرسال قيمة encounterForm يتم عرضها دون تنقية في src الخاص بـ iframe بواسطة الدالة DocumentTemplateRender(). يسمح هذا للسكربت بقراءة معلومات صحية محمية (PHI) ورموز CSRF، واستدعاء نقاط نهاية (endpoints) خاصة بالموظفين أو المسؤولين.Recommendations
التحديث إلى الإصدار 8.5.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾