PT-2026-139995

CVE-2026-124482

·

Publicado

2026-11-08

·

Atualizado

2026-11-08

Descrição por

CVSS 4.0
7.1
Alta
MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.4.0
Description Existe uma falha de bypass de autorização que permite que usuários de lançamento independente SMART com baixos privilégios vinculem UUIDs de pacientes arbitrários ao contexto do token OAuth. Usuários que possuem apenas o ACL patients|demo podem selecionar uma vítima durante o processo de autorização para ler notas clínicas e documentos através dos endpoints FHIR DocumentReference e Binary com escopo de paciente.
Recommendations Atualize para a versão 8.4.0 ou posterior.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-639: Authorization Bypass Through User-Controlled Key
Identificadores relacionados
CVE-2026-124482
GHSA-RM4J-GXWP-QH48
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com