CVE-2026-124477

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Usuários autenticados com baixos privilégios podem excluir registros de recall de pacientes arbitrários devido à falta de autorização. Isso ocorre quando a ação delete Recall é usada para enviar solicitações POST para o endpoint '/interface/main/messages/save.php'. Ao fornecer um pid e r ID de destino, um invasor pode remover dados de recall porque o sistema não realiza verificações de Lista de Controle de Acesso (ACL) ou de propriedade.

Recommendations Atualize para a versão 8.3.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/interface/main/messages/save.php' ou à ação delete Recall para usuários com baixos privilégios.