CVE-2026-104138 in OpenEMR
Riassunto
di VulDB • 05/11/2026
OpenEMR è un'applicazione gratuita e open source per le cartelle cliniche elettroniche (EHR) e la gestione delle pratiche mediche. Prima della versione 8.3.0, i file custom/ajax_download.php, custom/download_qrda.php, custom/export_qrda_xml.php e custom/qrda_download.php convalidano il CSRF ma non applicano l'ACL patients/med utilizzata dalla pagina principale del report CQM canonico. I punti di accesso accettano inoltre un report_id non limitato a uno specifico ambito (unscoped), consentendo a un utente autenticato con privilegi ridotti di accedere alla logica di generazione e download dei report per altri rapporti. In una clinica in cui sono stati generati report CQM, ciò può esporre i documenti clinici QRDA Categoria Uno e Categoria Tre relativi ai pazienti inclusi in una misura. Questo problema è stato risolto nella versione 8.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.