PT-2026-139983

CVE-2026-124469

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 3.1

9.9

Crítica

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Um problema de SQL injection existe na busca de inventário de medicamentos da Planilha de Taxas (Fee Sheet) dentro da função sellDrug() da classe DrugSalesService. A falha ocorre quando o campo POST prod[N][warehouse] é interpolado em uma cláusula ORDER BY. Usuários autenticados com baixos privilégios podem explorar isso enviando linhas de produtos da Planilha de Taxas contendo subconsultas constantes para executar um oráculo cego baseado em tempo, permitindo a extração de dados de pacientes e hashes bcrypt de users secure.

Recommendations Atualize para a versão 8.3.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados

CVE-2026-124469