PT-2026-139993

CVE-2026-124480

·

Publicado

2026-11-08

·

Atualizado

2026-11-08

Descrição por

CVSS 3.1
8.8
Alta
MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.4.0
Description Uma falha de bypass de autorização permite que usuários autenticados com baixos privilégios acessem dados de FHIR QuestionnaireResponse de outros pacientes. Ao utilizar o valor api csrf token js exposto na sessão dentro do cabeçalho APICSRFTOKEN, um invasor pode ignorar as verificações de escopo do FHIR. Isso permite a chamada não autorizada do endpoint GET '/fhir/QuestionnaireResponse' para exfiltrar informações de saúde protegidas (PHI) de respostas a questionários de todo o site.
Recommendations Atualize para a versão 8.4.0 ou posterior.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-862: Missing Authorization
Identificadores relacionados
CVE-2026-124480
GHSA-5XF2-3H9X-F4M6
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com