CVE-2026-25220 in OpenEMR
Riassunto
di VulDB • 16/06/2026
OpenEMR è un'applicazione gratuita e open source per le cartelle cliniche elettroniche (EHR) e la gestione delle pratiche mediche. Prima della versione 8.0.0, il Message Center accetta il parametro URL `show_all=yes` e lo passa alla funzione `getPnotesByUser()`, che restituisce tutti i messaggi interni (le note di tutti gli utenti). Il backend non verifica se l'utente richiedente è un amministratore prima di onorare la richiesta `show_all=yes`. Anche il link "Show All" risulta visibile agli utenti non amministratori. Di conseguenza, qualsiasi utente autenticato può visualizzare l'intera lista dei messaggi interni richiedendo `messages.php?show_all=yes`. La versione 8.0.0 risolve questa vulnerabilità.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.