PT-2026-146753

CVE-2026-126468

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Uma falha de autorização permite que usuários autenticados com baixos privilégios acessem endpoints específicos que carecem de verificações AclMain::aclCheckCore(). Isso permite o acesso não autorizado a relatórios, lembretes datados e funções de lembretes em lote. Ao solicitar diretamente os endpoints 'patient list.php', 'amc full report.php', 'dated reminders add.php' ou 'batch reminders.php', um invasor pode exportar Informações de Saúde Protegidas (PHI) de pacientes, enviar lembretes não autorizados ou acionar o processamento de lembretes em lote.

Recommendations Atualize para a versão 8.5.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Nora-Qiu

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados