CVE-2026-126466

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Uma falha de autorização permite que usuários autenticados criem registros de pacientes e enumerem dados de pacientes ao ignorar as verificações aclCheckCore(). Isso pode ser explorado enviando solicitações POST para o endpoint 'new comprehensive save.php' para criar pacientes com Informações de Saúde Protegidas (PHI) de seguros, ou consultando os endpoints 'new search popup.php' e 'patient select.php' para vazar dados sensíveis, como nomes, números de Seguro Social (SSNs) e datas de nascimento (DOBs).

Recommendations Atualize para a versão 8.5.0 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints 'new comprehensive save.php', 'new search popup.php' e 'patient select.php'.