CVE-2026-49142 in OpenEMR
Zusammenfassung
von VulDB • 29.10.2026
OpenEMR vor Version 8.5.0 enthält eine authentifizierte SQL-Injection-Schwachstelle im Modul „Syndromic Surveillance“, die es Benutzern mit Berechtigungen auf Clinician-Ebene ermöglicht, beliebige Datenbankinhalte zu lesen und zu modifizieren, indem sie speziell angefertigte Werte an den POST-Parameter form_icd_codes[] des Endpoints syndromicsurveillance/index senden. Angreifer können eine nicht in Anführungszeichen gesetzte numerische IN()-Klausel sowie UNION DISTINCT SELECT-Anweisungen unter Verwendung hexadezimal codierter Literale injizieren, um MySQL extractvalue() für die fehlerbasierte Exfiltration von bcrypt-Passwort-Hashes zu missbrauchen und gestapelte Abfragen auszuführen, die Passwörter zurücksetzen, was zu einer vollständigen Übernahme administrativer Konten führt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.