PT-2026-146779

CVE-2026-126494

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 3.1

7.1

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.4.0

Description Um problema de autorização inadequada existe na função ScopeRepository::finalizeScopes(). Isso ocorre porque a função ScopeEntity::containsScope() ignora as permissões registradas, permitindo que clientes SMART/OAuth de apenas leitura obtenham escopos de escrita. Um invasor com um cliente registrado para user/<resource>.read pode solicitar user/<resource>.write para criar, atualizar e excluir dados de pacientes ou agendamentos.

Recommendations Atualizar para a versão 8.4.0.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Christos-Cantina-Security

Kojiromike

Mcspicyenjoyer

Fornecedores

Produtos afetados

Enumeração de fraquezas