CVE-2026-124472

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Uma falha de autorização existe no endpoint 'interface/billing/sl eob patient note.php'. Este problema permite que qualquer usuário autenticado, incluindo aqueles com contas de baixos privilégios, leia e modifique notas de faturamento de pacientes. Um invasor pode conseguir isso enumerando o parâmetro patient id e enviando requisições POST usando o token CSRF (Cross-Site Request Forgery) incorporado—um valor único usado para evitar que comandos não autorizados sejam transmitidos de um usuário em quem a aplicação web confia—para visualizar ou adulterar dados de faturamento confidenciais.

Recommendations Atualizar para a versão 8.3.0. Restringir o acesso ao endpoint 'interface/billing/sl eob patient note.php' apenas a pessoal autorizado.