PT-2026-146760

CVE-2026-126475

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 3.1

6.1

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Atacantes autenticados podem executar JavaScript injetando payloads no parâmetro POST searchEleNo do endpoint 'application/index/search'. Isso ocorre porque a aplicação não codifica atributos HTML em auto-suggest.phtml, permitindo a injeção de manipuladores de eventos que são disparados na inserção do DOM. Isso pode levar ao roubo de dados de pacientes e cookies de sessão não-HttpOnly.

Recommendations Atualize para a versão 8.5.0 ou posterior. Evite usar o parâmetro searchEleNo no endpoint 'application/index/search' até que a atualização seja aplicada.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Milo2012

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados

CVE-2026-126475