CVE-2026-115573

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Descrição No arquivo library/classes/Controller.class.php, a função checkControllerAcl() não aplica permissões para controladores ausentes no CONTROLLER ACL MAP. Este despachante com falha aberta permite que um usuário autenticado de baixo privilégio ignore as listas de controle de acesso (ACL) e invoque controladores administrativos. Especificamente, um invasor pode usar C X12Partner::edit action process() para criar ou modificar hosts e credenciais de roteamento de seguro, ou usar C PatientFinder::find action process() para enumerar identificadores, nomes e datas de nascimento de pacientes. Este problema também expõe outros controladores administrativos que deveriam ser restringidos via rotas de Configurações de Prática.

Recomendações Atualizar para a versão 8.3.0.