PT-2026-78468 · Openemr · Openemr
CVSS v4.0
5.3
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenEMR الأقدم من 8.3.0
الوصف
توجد ثغرة تتعلق بتزوير الطلبات عبر المواقع (CSRF) في عارض DICOM. يتم تضمين معلمة GET
web path في صفحة عارض DICOM كعنوان URL دون إجراء التنقية المناسبة أو التحقق من مطابقتها لتنسيقات المسارات المتوقعة. وهذا يسمح للمهاجم بصياغة عنوان URL يُجبر المستخدم المصادق عليه الذي يمتلك أذونات «المرضى - المستندات» على إرسال طلبات مصادق عليها إلى نقاط نهاية OpenEMR عشوائية، مما قد يؤدي إلى تسجيل الخروج القسري وإجراءات أخرى تؤدي إلى تغيير الحالة.التوصيات
التحديث إلى الإصدار 8.3.0 أو أحدث.
تجنب استخدام المعلمة
web path في صفحة عارض DICOM حتى يتم تطبيق التحديث.استغلال
إصلاح
CSRF
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Openemr