PT-2026-139996

CVE-2026-124483

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

8.7

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.4.0

Description Um problema de autorização incorreta ocorre porque as rotas da API REST de prescrição validam a Lista de Controle de Acesso (ACL) patients.med em vez da ACL patients.rx e não solicitam um bit de permissão específico. Isso permite que usuários com acesso de apenas leitura ao Histórico Médico ignorem as restrições pretendidas. Usuários autenticados da equipe podem utilizar o APICSRFTOKEN exposto na interface do usuário para enumerar UUIDs de prescrições, criar prescrições forjadas para qualquer paciente e desativar prescrições existentes em todo o locatário.

Recommendations Atualize para a versão 8.4.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-863: Incorrect Authorization

Identificadores relacionados

CVE-2026-124483