PT-2026-146750
CVE-2026-126465
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.5.0
Description
توجد ثغرة حقن SQL في نقطة النهاية 'api/onsiteactivityviews' لبوابة المريض. يمكن لمستخدمي الموظفين المصرح لهم حقن أوامر SQL من خلال قيم معايير
Id BitwiseAnd غير المقتبسة. ومن خلال إغلاق قوس العملية الثنائية (bitwise parenthesis) وإضافة عبارات OR أو UNION SELECT، يمكن للمهاجمين الوصول إلى المعلومات الصحية المحمية (PHI) للمرضى، وتجزئات كلمات مرور الموظفين، وسلاسل مصادقة MySQL، ورموز API.Recommendations
التحديث إلى الإصدار 8.5.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية 'api/onsiteactivityviews' أو تجنب استخدام المعلمة
Id BitwiseAnd.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾