PT-2026-139965

CVE-2026-124449

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.4.0

Description Uma falha de autorização existe na implementação FHIR onde certas rotas de leitura ignoram as verificações de Lista de Controle de Acesso (ACL). Isso permite que usuários com tokens de API de não-pacientes que carecem de ACLs do OpenEMR solicitem recursos usando um uuid, ignorando a filtragem de compartimentos. Consequentemente, um invasor pode ler documentos e respostas de questionários de qualquer paciente através dos endpoints '/FHIR Media/:uuid' e '/QuestionnaireResponse'.

Recommendations Atualize para a versão 8.4.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Aquibaquil

Arpitjain099

Tike00

Fornecedores

Produtos afetados

Enumeração de fraquezas