CVE-2026-124447

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Existe uma referência direta insegura a objetos na função Update() do OnsitePortalActivityController. O sistema valida o patientId fornecido na requisição em vez de verificar o proprietário real do registro armazenado. Pacientes autenticados no portal podem explorar isso enviando requisições PUT para o endpoint de API 'onsiteportalactivity' usando o ID de atividade de outro paciente e seu próprio patientId. Isso permite que um invasor divulgue dados de tableArgs e checksum, sobrescreva narrativas e status, e assuma a propriedade do registro.

Recommendations Atualize para a versão 8.3.0 ou posterior.