CVE-2026-126464

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Pacientes autenticados podem desencadear server-side request forgery, uma falha onde o servidor é coagido a fazer requisições não autorizadas. Ao enviar img src, url() de estilo inline ou blocos de estilo não purificados através do parâmetro content do endpoint 'portal/lib/doc lib.php', um invasor pode forçar o servidor a emitir requisições HTTP GET. Isso pode ser usado para sondar portas internas e endpoints de metadados de nuvem através da função createPdfObject().

Recommendations Atualize para a versão 8.5.0 ou posterior. Restrinja o uso do parâmetro content no endpoint 'portal/lib/doc lib.php' como uma mitigação temporária.