CVE-2026-124446

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Existe um problema nas funções disposeDocument() do módulo FaxSMS, especificamente no RCFaxClient e SignalWireClient. Usuários autenticados com baixos privilégios podem realizar path traversal—um método usado para acessar arquivos e diretórios armazenados fora da pasta raiz da web—através da manipulação do parâmetro file path não sanitizado. Ao solicitar action=download, um invasor pode recuperar arquivos de texto simples sensíveis, como o sqlconf.php contendo credenciais e chaves de banco de dados. Alternativamente, o uso de action=setup permite a sobrescrita de arquivos graváveis pelo servidor web com texto cifrado.

Recommendations Atualize para a versão 8.3.0 ou posterior. Como mitigação temporária, restrinja o acesso às funções disposeDocument() do módulo FaxSMS no RCFaxClient e SignalWireClient.