CVE-2026-40506

Nome do Software Vulnerável e Versões Afetadas OpenEMR versões anteriores a 8.2.0

Description Um problema de path traversal existe na interface 'standard tables manage.php'. O parâmetro GET db é passado sem validação para a função temp dir cleanup(), que anexa o valor ao caminho do diretório temporário do PHP e exclui recursivamente o diretório resultante. Ao utilizar uma sequência de traversal no parâmetro db e combiná-la com um redirecionamento aberto em 'dicom frame.php', um invasor não autenticado pode enviar uma URL manipulada que causa a exclusão recursiva de diretórios arbitrários quando acessada por uma sessão de Superusuário autenticada.

Recommendations Atualize para a versão 8.2.0 ou posterior. Como mitigação temporária, restrinja o acesso à interface 'standard tables manage.php' ou evite o uso do parâmetro db até que a atualização seja aplicada.