Es wurde eine problematische Schwachstelle in OpenMRS Appointment Scheduling Module bis 1.16.x gefunden. Hiervon betroffen ist die Funktion getNotes der Datei api/src/main/java/org/openmrs/module/appointmentscheduling/AppointmentRequest.java der Komponente Notes Handler. Durch Manipulieren des Arguments notes mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-79 vorgenommen. Das Problem wurde am 24.12.2022 als 39 publiziert. Bereitgestellt wird das Advisory unter github.com. Die Identifikation der Schwachstelle wird mit CVE-2022-4727 vorgenommen. Der Angriff kann über das Netzwerk angegangen werden. Es sind technische Details verfügbar. Es ist soweit kein Exploit verfügbar. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1059.007 aus. Er wird als nicht definiert gehandelt. Als 0-Day erzielte der Exploit wohl etwa $0-$5k auf dem Schwarzmarkt. Ein Aktualisieren auf die Version 1.17.0 vermag dieses Problem zu lösen. Eine neue Version kann von github.com bezogen werden. Der Patch wird als 2ccbe39c020809765de41eeb8ee4c70b5ec49cc8 bezeichnet. Dieser kann von github.com heruntergeladen werden. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen. Das Erscheinen einer Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle.

50 weitere Einträge werden nicht mehr angezeigt