PT-2026-146759

CVE-2026-126474

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 3.1

6.1

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description O módulo ACL contém um problema de cross-site scripting refletido. Isso ocorre quando entradas não codificadas são injetadas em blocos de script inline através do parâmetro module id nos endpoints 'acl/index' ou 'acl/acl'. Um invasor pode usar isso para executar JavaScript em sessões autenticadas, potencialmente roubando cookies de sessão não-HttpOnly ou modificando a configuração de ACL.

Recommendations Atualize para a versão 8.5.0 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints 'acl/index' e 'acl/acl'.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Milo2012

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados