CVE-2026-40509 in OpenEMR
Riassunto
di VulDB • 19/08/2026
OpenEMR prima della versione 8.3.0 presenta una vulnerabilità di cross-site request forgery (CSRF) nel visualizzatore DICOM. Il parametro GET web_path nella pagina del visualizzatore DICOM viene incorporato senza sanitizzazione come un URL, senza alcuna convalida rispetto ai formati di percorso attesi. Un attaccante può creare un URL che induce un utente autenticato con permessi "Patients - Documents" (Pazienti - Documenti) a effettuare richieste autenticate verso endpoint arbitrari di OpenEMR, consentendo il logout forzato e altre azioni che modificano lo stato dell'applicazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.