Uma falha de autorização existe na implementação FHIR onde certas rotas de leitura ignoram as verificações de Lista de Controle de Acesso (ACL). Isso permite que usuários com tokens de API de não-pacientes que carecem de ACLs do OpenEMR solicitem recursos usando um `uuid`, ignorando a filtragem de compartimentos. Consequentemente, um invasor pode ler documentos e respostas de questionários de qualquer paciente através dos endpoints '/FHIR Media/:uuid' e '/QuestionnaireResponse'.