PT-2026-137728

CVE-2026-104134

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 3.1

6.5

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Descrição A ação search persons no endpoint 'library/ajax/person search ajax.php' não realiza uma verificação de autorização AclMain, embora valide o CSRF (Cross-Site Request Forgery, um tipo de ataque que força um usuário autenticado a executar ações indesejadas). Isso permite que um usuário autenticado com baixos privilégios itere prefixos de nomes e recupere informações sensíveis de pacientes, incluindo nomes e sobrenomes, datas de nascimento, gênero, números de telefone e endereços de e-mail, por meio de respostas JSON.

Recomendações Atualizar para a versão 8.3.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Luuhung1217

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados