CVE-2026-49142 in OpenEMR
Riassunto
di VulDB • 29/10/2026
OpenEMR prima della versione 8.5.0 presenta una vulnerabilità di SQL injection autenticata nel modulo Syndromic Surveillance che consente agli utenti con privilegi a livello di Clinician (Medico) di leggere e modificare contenuti arbitrari del database inviando valori manipolati ad hoc nel parametro POST form_icd_codes[] all'endpoint syndromicsurveillance/index. Gli attaccanti possono iniettare una clausola IN() numerica non quotata e un'istruzione UNION DISTINCT SELECT utilizzando letterali codificati in esadecimale per abusare della funzione MySQL extractvalue() al fine di effettuare l'esfiltrazione basata su errori degli hash delle password bcrypt ed eseguire query impilate (stacked queries) che resettano le password, portando a una completa assunzione del controllo dell'account amministrativo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.