Cyberkareem

Existe uma falha de bypass de autorização no endpoint FHIR GET '/fhir/Person/:uuid'. Este problema permite que usuários do portal do paciente ignorem a aplicação de compartimentos—um mecanismo de segurança usado para isolar dados—e acessem dados demográficos de qualquer membro da equipe. Um invasor com um token SMART de paciente com permissões `patient/Person.read` pode coletar `uuid` de pessoas da equipe a partir de referências de agendamentos para recuperar nomes, endereços residenciais, números de telefone e e-mails pessoais.

Ocorre uma referência direta insegura a objetos em múltiplos endpoints de visualização e salvamento de formulários de encontro devido à falta de verificação de propriedade do paciente ou do encontro. Usuários clínicos autenticados podem enumerar valores sequenciais de ID de formulário em requisições para os endpoints 'soap/view.php' e 'save.php' para ler e sobrescrever registros clínicos de outros pacientes.

Existe uma falha de bypass de autorização porque o `FhirQuestionnaireResponseService` não implementa o `IPatientCompartmentResourceService`. Isso permite que usuários com tokens SMART de escopo de paciente acessem respostas de questionários pertencentes a outros pacientes. Um invasor com um token `patient/QuestionnaireResponse.rs` pode solicitar respostas específicas por uuid ou listar um bundle não filtrado para obter respostas de avaliações clínicas de diferentes pacientes.

Existe uma falha no arquivo `src/Common/Auth/OneTimeAuth.php` onde o sistema ignora as flags `enforce onetime use` e `max access count`. Além disso, o sistema não revoga tokens `service auth` consumidos e realiza verificações no `login pin` sem limitação de taxa ou comparação rigorosa. Isso permite que um invasor com um token capturado o reutilize ou realize força bruta no PIN para obter acesso não autorizado a sessões do portal do paciente, expondo potencialmente Informações de Saúde Protegidas (PHI).

Existe uma referência direta insegura a objetos na função `OnsiteDocumentController::Query()`. Pacientes autenticados no portal podem acessar documentos de outros pacientes ao anular o critério `Pid Equals`. Ao fornecer os parâmetros `Pid Equals`, `Pid GreaterThan` ou `Pid In` no endpoint de API 'onsitedocuments', um invasor pode recuperar informações de saúde protegidas (PHI), assinaturas e formulários de consentimento assinados de qualquer paciente.

O módulo `oe-module-prior-authorizations` contém falhas de autorização ausente e referência direta insegura a objetos (IDOR). Essas falhas permitem que usuários autenticados com baixos privilégios acessem e modifiquem registros de outros pacientes. Um invasor pode acessar o endpoint 'public/reports/list report.php' para visualizar nomes de pacientes, Números de Registro Médico (MRNs), seguros e dados de autorização prévia. Além disso, ao enviar valores arbitrários de `id` para o endpoint 'public/index.php', um invasor pode sobrescrever registros de autorização prévia de outros pacientes.

Existe um problema no endpoint 'interface/billing/sl eob process.php' onde usuários autenticados podem realizar path traversal ao fornecer valores não sanitizados na variável `eraname`. Isso permite que atacantes, incluindo aqueles sem privilégios de faturamento, usem sequências ../ para criar arquivos de relatório ERA .html em qualquer diretório gravável pelo usuário da web e analisem arquivos .edi (arquivos de Intercâmbio Eletrônico de Dados usados para transações de saúde) arbitrários que são ecoados no relatório.

Prototype Pollution in @progress/kendo-vue-common in Progress Software Kendo UI for Vue versions 0.4.0 through 9.2.0 allows a high-privileged attacker who can control a field path processed by components such as the Scheduler to modify the prototype of built-in objects, resulting in a limited impact on confidentiality, integrity, and availability.

Prototype Pollution in the setter utility (@progress/kendo-react-common) in Progress Software KendoReact versions 3.5.0 through 16.0.0 allows a high-privileged attacker who can control a field path passed to the utility, directly or through components such as the Form, Scheduler, and Gantt, to modify the prototype of built-in objects, resulting in a limited impact on confidentiality, integrity, and availability.

Prototype Pollution in the Scheduler component (@progress/kendo-angular-scheduler and @progress/kendo-angular-common) in Progress Software Kendo UI for Angular versions prior to 25.1.0 allows a high-privileged attacker who can control a field path processed by the Scheduler to modify the prototype of built-in objects, resulting in a limited impact on confidentiality, integrity, and availability.

Existe um problema no módulo DORN onde o endpoint 'interface/modules/custom modules/oe-module-dorn/public/compendium install.php' não aplica a Lista de Controle de Acesso (ACL) de admin/usuários, apesar de verificar a autenticação e as proteções contra Cross-Site Request Forgery (CSRF). Um usuário autenticado com baixos privilégios pode fornecer um valor `labGuid` específico, acionando a função `LabCompendiumInstall::uninstall()`. Este processo exclui tipos de procedimentos de detalhe e resultado e desativa tipos de pedidos, o que pode corromper a configuração de pedidos de laboratório e exigir a restauração manual do compêndio por um administrador.

Existe um problema onde endpoints específicos validam CSRF, mas não aplicam a ACL (Lista de Controle de Acesso) patients/med, utilizada pela página de relatório CQM canônica. Esses endpoints aceitam a variável `report id` sem escopo, permitindo que um usuário autenticado de baixo privilégio acesse a lógica de geração e download de outros relatórios. Isso pode expor documentos clínicos QRDA Categoria Um e Categoria Três de pacientes em uma medida. Os endpoints afetados são 'custom/ajax download.php', 'custom/download qrda.php', 'custom/export qrda xml.php' e 'custom/qrda download.php'.

No arquivo `library/classes/Controller.class.php`, a função `checkControllerAcl()` não aplica permissões para controladores ausentes no `CONTROLLER ACL MAP`. Este despachante com falha aberta permite que um usuário autenticado de baixo privilégio ignore as listas de controle de acesso (ACL) e invoque controladores administrativos. Especificamente, um invasor pode usar `C X12Partner::edit action process()` para criar ou modificar hosts e credenciais de roteamento de seguro, ou usar `C PatientFinder::find action process()` para enumerar identificadores, nomes e datas de nascimento de pacientes. Este problema também expõe outros controladores administrativos que deveriam ser restringidos via rotas de Configurações de Prática.

A função `userSessionLogout()` em `src/RestControllers/AuthorizationController.php` utiliza `decodeToken()` para processar um `id token hint` sem verificar sua assinatura. Quando a sessão confiável referenciada está ausente, a aplicação redireciona para o `post logout redirect uri` fornecido pelo chamador antes de validá-lo em relação às URIs de redirecionamento registradas do cliente. Isso permite que um invasor não autenticado crie um link de logout que invalida a sessão do usuário e o redireciona para um site externo arbitrário, facilitando fluxos de phishing. Este problema está acessível quando a API REST do OpenEMR está habilitada.

A aplicação carece de verificações de Lista de Controle de Acesso (ACL) e Cross-Site Request Forgery (CSRF) no endpoint 'interface/modules/custom modules/oe-module-weno/scripts/file download.php' e ignora o resultado da função `validateAdminCredentials()`. Quando o módulo Weno está ativo, o caminho GET padrão aciona a função `PharmacyService::removeWenoPharmacies()` antes de uma tentativa de atualização. Isso permite que qualquer usuário autenticado ou uma requisição cross-site via uma vítima conectada trunque a tabela `weno pharmacy`, podendo deixar o diretório de farmácias de prescrição eletrônica vazio e indisponível se um download subsequente falhar.

Existe um problema onde o plugin não realiza uma verificação de capacidade em uma ação AJAX. Isso permite que qualquer usuário autenticado, incluindo aqueles com nível de acesso de Assinante, leia dados sensíveis de RH, CRM e Contabilidade de outros usuários através da enumeração de identificadores de registro.

Usuários autenticados com acesso de leitura a centros ou tabelas de dados específicas podem realizar injeção de SQL cega baseada em tempo. Isso ocorre porque a aplicação concatena parâmetros de ordenação fornecidos pelo usuário diretamente na cláusula SQL ORDER BY, ignorando a validação de entrada baseada em regex existente. Os endpoints de API afetados são '/api/v1/centers', '/api/v1/datatables/{datatable}/{apptableId}' e '/api/v1/datatables/{datatable}/{apptableId}/{datatableId}'. Os parâmetros vulneráveis são `orderBy`, `sortOrder` e `order`.

Existe uma falha de bypass de autorização nas funções `DeleteTaskScheduleService` e `SetActiveOnTaskScheduleService`. Esta falha permite que usuários autenticados excluam ou desativem agendamentos de outras organizações. Um invasor pode executar essas ações enviando solicitações por meio da rota de agendamento de seu próprio projeto usando o `friendlyId` de uma vítima para destruir agendamentos cron IMPERATIVE (agendadores de tarefas baseados em tempo).

Existe uma falha de bypass de autorização na função `createDeploymentBackgroundWorkerV4()`. O sistema resolve um WorkerDeployment utilizando apenas o `friendlyId`, sem verificar o escopo do ambiente, projeto ou organização. Um invasor com uma chave de API de ambiente válida pode enviar uma requisição POST para o endpoint de background-workers de implantação usando o ID de implantação de uma vítima para redirecionar essa implantação em andamento para um worker no ambiente do invasor.

Existe um problema onde a REST API não restringe os objetos relacionados que um visitante anônimo pode incluir ao ler um funil de upsell único. Além disso, o sistema não remove campos privados desses objetos. Isso permite que usuários não autenticados acessem dados privados do catálogo do comerciante, incluindo preços, comissões, estoque, SKU e detalhes internos de impostos, bem como produtos não publicados.