PT-2026-137724

CVE-2026-103020

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 3.1

5.3

Média

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description A página de administração multisite localizada no endpoint 'admin.php' está habilitada sem verificação de autenticação. Isso permite que um ator de rede não autenticado leia configurações de banco de dados do arquivo sqlconf.php e se conecte aos bancos de dados de sites configurados. Consequentemente, um invasor pode obter identificadores de site, nomes de bancos de dados, nomes de sites, versões exatas do software e níveis de patch, status de atualização pendente e links diretos para logins e portais de pacientes.

Recommendations Atualizar para a versão 8.3.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Pig-Tail

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-200: Exposure of Sensitive Information to an Unauthorized Actor

CWE-306: Missing Authentication for Critical Function