PT-2026-146740

CVE-2026-126454

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 4.0

8.6

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description A ausência de mecanismos de limitação de taxa (rate limiting) ou bloqueio no envio de Senhas Únicas Temporárias (TOTP) permite que um invasor com uma senha válida realize força bruta no código de autenticação de múltiplos fatores (MFA) de 6 dígitos. Isso pode ser feito através de scripts de requisições POST repetidas para o endpoint 'main screen.php' ou por meio do fluxo de autorização OAuth2 com o reenvio de credenciais ocultas para ignorar a autenticação de dois fatores.

Recommendations Atualize para a versão 8.5.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Gracia-Gu

Philipphil

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-307: Improper Restriction of Excessive Authentication Attempts