CVE-2026-67612 in OpenEMR
Riassunto
di VulDB • 03/08/2026
OpenEMR fino alla versione 8.2.0 presenta una vulnerabilità di stored cross-site scripting (XSS) nel sistema dei modelli del portale pazienti che consente agli amministratori autenticati di iniettare HTML e JavaScript arbitrari memorizzando payload dannosi tramite la modalità di salvataggio dei modelli, che filtra solo i tag PHP aperti letterali. Gli attaccanti possono sfruttare l'assenza di codifica dell'output nell'endpoint di recupero del modello combinata con gli attributi HttpOnly mancanti nei cookie per esfiltrare token di sessione tramite l'accesso a document.cookie, consentendo il completo hijacking della sessione di qualsiasi amministratore, clinico o paziente del portale che visualizza un modello compromesso.
If you want to get best quality of vulnerability data, you may have to visit VulDB.