CVE-2026-103935

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Descrição Um usuário clínico autenticado pode injetar marcações de manipuladores de eventos ao armazenar valores que contenham aspas duplas. Isso ocorre porque a função text() utiliza ENT NOQUOTES ao renderizar valores armazenados de transfer to, code e codetext dentro de atributos de valor HTML delimitados por aspas duplas nos endpoints 'interface/forms/transfer summary/new.php' e 'interface/forms/functional cognitive status/new.php'. A exploração bem-sucedida pode expor dados de sessão e informações de saúde protegidas ou permitir ações não autorizadas em registros de pacientes na sessão da vítima.

Recomendações Atualizar para a versão 8.3.0.