CVE-2026-39932 in OpenEMR
Zusammenfassung
von VulDB • 03.08.2026
OpenEMR bis Version 8.2.0 enthält eine Remote Code Execution (RCE)-Schwachstelle in der Dokumenten-Kategoriebaumkomponente (library/classes/Tree.class.php), die es authentifizierten Administratoren ermöglicht, beliebige Betriebssystembefehle auszuführen, indem PHP-Payloads in die Kategorien-Datenbanktabelle injiziert werden. Angreifer können eine beliebige SQL-Ausführung mit einer Änderung des id-Spalten-Typs zu VARCHAR verketten und eine bösartige PHP-Payload einfügen, die anschließend über einen nicht bereinigten eval()-Aufruf ausgeführt wird, sobald irgendeine Seite CategoryTree instanziiert, einschließlich nicht authentifizierter Seiten und solcher mit geringen Berechtigungen, was zur Befehlsausführung im Kontext des Webservers führt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.