CVE-2026-126476

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.5.0

Description Um problema de cross-site scripting refletido existe no endpoint de auto-sugestão do módulo Application. O endpoint application/index/search reflete o parâmetro POST searchMode sem codificação em um atributo onClick delimitado por aspas simples. Isso permite que um invasor execute JavaScript arbitrário na sessão de um usuário autenticado ao induzi-lo a enviar um payload específico, podendo levar ao roubo de cookies de sessão ou à divulgação de dados de pacientes.

Recommendations Atualize para a versão 8.5.0 ou posterior. Evite usar o parâmetro searchMode no endpoint application/index/search até que a atualização seja aplicada.