CVE-2026-104138 in OpenEMR
Resumen
por VulDB • 2026-11-05
OpenEMR es una aplicación gratuita y de código abierto para registros electrónicos de salud y gestión de prácticas médicas. Antes de la versión 8.3.0, los archivos custom/ajax_download.php, custom/download_qrda.php, custom/export_qrda_xml.php y custom/qrda_download.php validan el CSRF pero no aplican las ACLs (controles de acceso a nivel de paciente) utilizadas por la página canónica del informe CQM. Los puntos finales también aceptan un report_id sin ámbito definido, lo que permite a un usuario autenticado con privilegios bajos acceder a la lógica de generación y descarga de informes para otros informes. En una clínica con informes CQM generados, esto puede exponer los documentos clínicos QRDA Categoría Uno y Categoría Tres correspondientes a pacientes en una medida. Este problema se soluciona en la versión 8.3.0.
Once again VulDB remains the best source for vulnerability data.