PT-2021-23428
CVE-2021-41843
·
Publicado
2021-12-17
·
Atualizado
2021-12-22
Descrição por
CVSS 2.0
6.8
MédiaMétricasAV:N/AC:L/Au:S/C:C/I:N/A:N
Nome do software vulnerável e versões afetadas
OpenEMR versão 6.0.0 anterior à correção 3
Descrição
Uma vulnerabilidade de injeção de SQL autenticada na função de pesquisa do calendário permite que um invasor leia dados de todas as tabelas do banco de dados por meio do parâmetro
provider id, conforme demonstrado pela URI “/interface/main/calendar/index.php?module=PostCalendar&func=search”.Recomendações
Para o OpenEMR versão 6.0.0 antes do patch 3, aplique o patch 3 para resolver o problema.
Como solução temporária, considere restringir o acesso à função de pesquisa do calendário até que um patch esteja disponível.
Evite usar o parâmetro
provider id no endpoint da API afetado até que o problema seja resolvido.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾