PT-2026-137729

CVE-2026-104138

Publicado

2026-11-05

Atualizado

2026-11-05

Descrição por

CVSS 3.1

6.5

Média

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Descrição Existe um problema onde endpoints específicos validam CSRF, mas não aplicam a ACL (Lista de Controle de Acesso) patients/med, utilizada pela página de relatório CQM canônica. Esses endpoints aceitam a variável report id sem escopo, permitindo que um usuário autenticado de baixo privilégio acesse a lógica de geração e download de outros relatórios. Isso pode expor documentos clínicos QRDA Categoria Um e Categoria Três de pacientes em uma medida. Os endpoints afetados são 'custom/ajax download.php', 'custom/download qrda.php', 'custom/export qrda xml.php' e 'custom/qrda download.php'.

Recomendações Atualizar para a versão 8.3.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados

CVE-2026-104138