CVE-2026-104139

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Descrição Existe um problema onde usuários autenticados podem definir um identificador de paciente arbitrário na sessão ativa através do endpoint 'library/ajax/set pt.php', pois este carece de uma verificação de Lista de Controle de Acesso (ACL). Subsequentemente, o endpoint 'interface/patient file/download template.php' confia nesse valor de sessão, aplicando apenas a validação de Cross-Site Request Forgery (CSRF). Isso permite que um usuário de baixo privilégio selecione outro paciente e baixe um modelo de documento renderizado contendo dados sensíveis, incluindo dados demográficos, informações de encontro, alergias, medicamentos e a lista de problemas, mesmo sem o acesso necessário a pacientes/documentos.

Recomendações Atualizar para a versão 8.3.0.