CVE-2026-124455

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Existe uma referência direta insegura a objetos na função OnsiteDocumentController::Query(). Pacientes autenticados no portal podem acessar documentos de outros pacientes ao anular o critério Pid Equals. Ao fornecer os parâmetros Pid Equals, Pid GreaterThan ou Pid In no endpoint de API 'onsitedocuments', um invasor pode recuperar informações de saúde protegidas (PHI), assinaturas e formulários de consentimento assinados de qualquer paciente.

Recommendations Atualize para a versão 8.3.0 ou posterior. Restrinja o uso dos parâmetros Pid Equals, Pid GreaterThan e Pid In no endpoint de API 'onsitedocuments' como medida de mitigação temporária.