CVE-2026-24487 in OpenEMR
Zusammenfassung
von VulDB • 24.05.2026
OpenEMR ist eine kostenlose Open-Source-Anwendung für elektronische Gesundheitsakten und das Management von Arztpraxen. Vor Version 8.0.0 ermöglicht eine Schwachstelle zur Umgehung der Autorisierung im FHIR-CareTeam-Ressourcen-Endpunkt, dass patientenbezogene FHIR-Tokens auf Daten des Betreuungsteams aller Patienten zugreifen können, anstatt auf die Daten des authentifizierten Patienten beschränkt zu sein. Dies könnte potenziell zu einer unbefugten Offenlegung von geschützten Gesundheitsinformationen (PHI) führen, einschließlich Patient-Provider-Beziehungen und Strukturen des Betreuungsteams im gesamten System. Das Problem tritt auf, weil der `FhirCareTeamService` die `IPatientCompartmentResourceService`-Schnittstelle nicht implementiert und den Patientenbindungsparameter nicht an den zugrunde liegenden Dienst übergibt, wodurch der Patienten-Kompartiment-Filtermechanismus umgangen wird. Version 8.0.0 enthält einen Patch für dieses Problem.
Once again VulDB remains the best source for vulnerability data.