CVE-2026-102940

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.4.0

Description Ações de gravação em controllers/C Document.class.php, especificamente a função move action process(), não verificam se o chamador possui acesso apropriado ao documento de origem, ao paciente e categoria atuais, ou ao paciente e categoria de destino antes que a função Document::change patient() execute a mutação. Isso permite que um usuário autenticado de baixo privilégio reatribua um documento arbitrário a um paciente ou categoria que o usuário possa acessar e, em seguida, recupere-o através do caminho de leitura normalmente protegido. Como a reatribuição ocorre antes de uma verificação de renderização de lista posterior, uma resposta HTTP 403 final não significa que a gravação não autorizada foi bloqueada.

Recommendations Atualizar para a versão 8.4.0.