CVE-2026-49142

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Uma injeção de SQL autenticada existe no módulo Syndromic Surveillance. Usuários com privilégios de nível Clinician podem ler e modificar conteúdos arbitrários do banco de dados ao enviar valores manipulados para o parâmetro POST form icd codes[] no endpoint 'syndromicsurveillance/index'. O problema permite o uso de uma cláusula IN() numérica não citada e uma instrução UNION DISTINCT SELECT com literais codificados em hex para abusar da função extractvalue() do MySQL para exfiltração baseada em erro de hashes de senha bcrypt. Além disso, consultas empilhadas podem ser executadas para redefinir senhas, resultando no controle total da conta administrativa.

Recommendations Atualizar para a versão 8.5.0. Restringir o acesso ao endpoint 'syndromicsurveillance/index' ou evitar o uso do parâmetro form icd codes[] até que a atualização seja aplicada.