CVE-2021-40375

Apperta Foundation OpenEyes versão 3.5.1

A vulnerabilidade permite que invasores remotos visualizem informações confidenciais de pacientes sem possuir o nível de privilégio necessário. Embora o OpenEyes retorne uma mensagem de erro “Forbidden”, ele ainda inclui o conteúdo do perfil do paciente na resposta do servidor, que pode ser acessado por meio de um proxy de interceptação ou visualizando o código-fonte da página. As informações confidenciais expostas incluem dados de identificação pessoal (PII) do paciente e registros ou histórico de medicação.

Para o Apperta Foundation OpenEyes versão 3.5.1, considere restringir o acesso aos perfis dos pacientes até que uma correção esteja disponível e certifique-se de que as respostas do servidor não incluam informações confidenciais, mesmo quando for retornado um erro “Forbidden”.