PT-2026-146752
CVE-2026-126467
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.5.0
Description
توجد مشكلة في دالة
processEnhancedFormSave() ضمن ObservationController حيث تسمح القائمة السوداء غير المكتملة للحقول للمستخدمين المصرح لهم بصلاحيات منخفضة بإجراء تعيين جماعي (mass assignment). من خلال إرسال authorized=1 أو تجاوز حقل id جنبًا إلى جنب مع observation id يمكن للمهاجم تمييز الملاحظات على أنها موقعة من قبل المزود أو الكتابة فوق الحقول السريرية لملاحظات أخرى ضمن نفس زيارة المريض.Recommendations
التحديث إلى الإصدار 8.5.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى دالة
processEnhancedFormSave() للمستخدمين ذوي الصلاحيات المنخفضة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾