CVE-2026-124485

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.3.0

Description Existe uma falha de bypass de autorização na API 'onsitedocuments' do portal do paciente. Pacientes autenticados podem acessar documentos de outros pacientes ao anular os critérios de consulta. Isso é feito enviando parâmetros pid Equals e denialReason IsNotLike vazios, o que remove o escopo do paciente e os filtros bloqueados. Essa exposição pode revelar corpos de consentimento, assinaturas, caminhos de arquivos e dados de modelo.

Recommendations Atualize para a versão 8.3.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint da API 'onsitedocuments'.