PT-2026-139973

CVE-2026-124458

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.4.0

Description Existe uma falha de bypass de autorização no endpoint FHIR GET '/fhir/Person/:uuid'. Este problema permite que usuários do portal do paciente ignorem a aplicação de compartimentos—um mecanismo de segurança usado para isolar dados—e acessem dados demográficos de qualquer membro da equipe. Um invasor com um token SMART de paciente com permissões patient/Person.read pode coletar uuid de pessoas da equipe a partir de referências de agendamentos para recuperar nomes, endereços residenciais, números de telefone e e-mails pessoais.

Recommendations Atualize para a versão 8.4.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Cyberkareem

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-284: Improper Access Control

Identificadores relacionados