PT-2026-146748

CVE-2026-126463

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 3.1

7.1

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Usuários autenticados podem explorar múltiplas falhas de injeção de SQL injetando payloads através do ERA CLP01, form facility, form icd codes e nomes de chaves POST. Isso permite técnicas de injeção UNION, blind e baseadas em erro para ler hashes de senha de users secure e Informações de Saúde Protegidas (PHI) de pacientes, bem como sobrescrever campos em patient data.

Recommendations Atualize para a versão 8.5.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Nora-Qiu

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados