CVE-2026-103939

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Descrição A aplicação carece de verificações de Lista de Controle de Acesso (ACL) e Cross-Site Request Forgery (CSRF) no endpoint 'interface/modules/custom modules/oe-module-weno/scripts/file download.php' e ignora o resultado da função validateAdminCredentials(). Quando o módulo Weno está ativo, o caminho GET padrão aciona a função PharmacyService::removeWenoPharmacies() antes de uma tentativa de atualização. Isso permite que qualquer usuário autenticado ou uma requisição cross-site via uma vítima conectada trunque a tabela weno pharmacy, podendo deixar o diretório de farmácias de prescrição eletrônica vazio e indisponível se um download subsequente falhar.

Recomendações Atualize para a versão 8.3.0. Como mitigação temporária, desative o módulo Weno para evitar o acesso não autorizado à funcionalidade afetada.