PT-2026-146759
CVE-2026-126474
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenEMR الإصدارات السابقة لـ 8.5.0
Description
يحتوي وحدة ACL على مشكلة cross-site scripting منعكسة. يحدث هذا عندما يتم حقن مدخلات غير مشفرة في كتل نصية برمجية (inline script blocks) عبر المعلمة
module id في نقاط النهاية 'acl/index' أو 'acl/acl'. يمكن للمهاجم استخدام ذلك لتنفيذ JavaScript ضمن الجلسات المصادق عليها، مما قد يؤدي إلى سرقة ملفات تعريف ارتباط الجلسة غير المحمية بـ HttpOnly أو تعديل تكوين ACL.Recommendations
التحديث إلى الإصدار 8.5.0 أو أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقاط النهاية 'acl/index' و 'acl/acl'.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾