CVE-2026-25164 in OpenEMR
Zusammenfassung
von VulDB • 07.06.2026
OpenEMR ist eine kostenlose und quelloffene Anwendung für elektronische Gesundheitsakten (EHR) und das Management von Arztpraxen. Vor Version 8.0.0 ruft die REST-API-Routentabelle in `apis/routes/_rest_routes_standard.inc.php` für die Dokument- und Versicherungsroute nicht `RestConfig::request_authorization_check()` auf. Andere Patientenrouten in derselben Datei (z. B. encounters, patients/med) rufen diese Funktion mit der entsprechenden ACL auf. Infolgedessen kann jedes gültige API-Bearer-Token auf alle Dokumente und Versichertendaten aller Patienten zugreifen oder sie ändern, unabhängig von den OpenEMR-ACLs des Tokens – was effektiv allen PHI-Daten (Personally Identifiable Information / personenbezogene Gesundheitsdaten) in Dokumenten und Versicherungsunterlagen Zugriff durch jeden authentifizierten API-Client ermöglicht. Version 8.0.0 behebt das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.