PT-2026-146749
CVE-2026-126464
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:L
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.5.0
Description
يمكن للمرضى الذين يمتلكون صلاحيات وصول إجبار الخادم على إجراء طلبات تزوير طلبات الخادم (SSRF)، وهي ثغرة يتم من خلالها إجبار الخادم على إجراء طلبات غير مصرح بها. من خلال إرسال
img src أو url() في التنسيق المضمن أو كتل تنسيق غير منقاة عبر المعلمة content في endpoint 'portal/lib/doc lib.php'، يمكن للمهاجم إجبار الخادم على إصدار طلبات HTTP GET. يمكن استخدام ذلك لفحص المنافذ الداخلية ونقاط نهاية بيانات cloud الوصفية عبر الدالة createPdfObject().Recommendations
التحديث إلى الإصدار 8.5.0 أو أحدث.
تقييد استخدام المعلمة
content في endpoint 'portal/lib/doc lib.php' كإجراء تخفيف مؤقت.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾