CVE-2026-25220 in OpenEMR
الملخص
بحسب VulDB • 27/05/2026
OpenEMR هو تطبيق مجاني ومفتوح المصدر للسجلات الصحية الإلكترونية وإدارة الممارسات الطبية. قبل الإصدار 8.0.0، يقبل مركز الرسائل (Message Center) معلمة عنوان URL `show_all=yes` وينقلها إلى الدالة `getPnotesByUser()`، التي تُرجع جميع الرسائل الداخلية (ملاحظات جميع المستخدمين). لا يتحقق الخادم الخلفي (Backend) مما إذا كان المستخدم الذي يطلب الخدمة هو مسؤول قبل تنفيذ `show_all=yes`. كما أن رابط "إظهار الكل" (Show All) مرئي أيضاً للمستخدمين غير المسؤولين. ونتيجة لذلك، يمكن لأي مستخدم مُصادَق عليه عرض قائمة الرسائل الداخلية بالكامل عن طريق طلب `messages.php?show_all=yes`. يقوم الإصدار 8.0.0 بإصلاح هذه الثغرة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.