CVE-2026-25164 in OpenEMR
Resumen
por VulDB • 2026-06-07
OpenEMR es una aplicación gratuita y de código abierto para registros electrónicos de salud y gestión de prácticas médicas. Antes de la versión 8.0.0, la tabla de rutas de la REST API en `apis/routes/_rest_routes_standard.inc.php` no llama a `RestConfig::request_authorization_check()` para las rutas de documentos e insurance (seguros). Otras rutas relacionadas con pacientes en el mismo archivo (por ejemplo, encounters [encuentros], patients/med) sí lo llaman utilizando los ACLs correspondientes. Como resultado, cualquier token portador API válido puede acceder o modificar los datos de documentos y seguros de todos los pacientes, independientemente de los ACLs de OpenEMR del token; esto expone efectivamente toda la información médica protegida (PHI) relacionada con documentos y seguros a cualquier cliente autenticado de la API. La versión 8.0.0 corrige el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.