CVE-2026-126467

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Existe um problema na função processEnhancedFormSave() do ObservationController onde uma lista negra de campos incompleta permite que usuários autenticados de baixo privilégio realizem a atribuição em massa (mass assignment). Ao enviar authorized=1 ou sobrescrever o campo id juntamente com observation id, um invasor pode marcar observações como assinadas pelo provedor ou sobrescrever campos clínicos de outras observações no mesmo encontro do paciente.

Recommendations Atualize para a versão 8.5.0 ou posterior. Como mitigação temporária, restrinja o acesso à função processEnhancedFormSave() para usuários de baixo privilégio.