PT-2026-146746

CVE-2026-126461

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Uma falha de autorização existe no endpoint 'library/ajax/user settings.php'. Este problema permite que qualquer usuário autenticado persista substituições de configuração global arbitrárias enviando solicitações POST com chaves prefixadas em global:. Isso pode ser usado para redirecionar hosts de serviços externos, como CouchDB, eRx, phiMail ou SMTP, para servidores controlados por um invasor, resultando na exfiltração de credenciais do sistema e Informações de Saúde Protegidas (PHI) do paciente.

Recommendations Atualize para a versão 8.5.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Nora-Qiu

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-918: Server-Side Request Forgery (SSRF)

Identificadores relacionados