CVE-2026-25220 in OpenEMR
Resumen
por VulDB • 2026-05-20
OpenEMR es una aplicación gratuita y de código abierto para registros electrónicos de salud y gestión de prácticas médicas. Antes de la versión 8.0.0, el Centro de mensajes acepta el parámetro de URL `show_all=yes` y lo pasa a `getPnotesByUser()`, lo que devuelve todos los mensajes internos (notas de todos los usuarios). El backend no verifica que el usuario solicitante sea un administrador antes de aceptar `show_all=yes`. El enlace "Mostrar todo" también es visible para usuarios no administradores. Como resultado, cualquier usuario autenticado puede ver la lista completa de mensajes internos solicitando `messages.php?show_all=yes`. La versión 8.0.0 corrige el problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.