PT-2026-146750

CVE-2026-126465

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 4.0

7.1

Alta

MétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Um problema de injeção de SQL existe no endpoint 'api/onsiteactivityviews' do portal do paciente. Usuários da equipe autenticados podem injetar comandos SQL por meio de valores de critério Id BitwiseAnd não citados. Ao fechar o parêntese bitwise e anexar cláusulas OR ou UNION SELECT, os invasores podem acessar Informações de Saúde Protegidas (PHI) do paciente, hashes de senha da equipe, strings de autenticação MySQL e tokens de API.

Recommendations Atualize para a versão 8.5.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'api/onsiteactivityviews' ou evite usar o parâmetro Id BitwiseAnd.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Nora-Qiu

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados

CVE-2026-126465