CVE-2025-67491 in OpenEMR
要約
〜によって VulDB • 2026年06月09日
OpenEMRは、フリーかつオープンソースの電子健康記録（EHR）および医療業務管理アプリケーションです。バージョン5.0.0.5から7.0.3.4までには、請求インターフェースのub04ヘルパーに格納型クロスサイトスクリプティング（XSS）脆弱性が存在します。変数 `$data` は、適切なサニタイズ処理が行われず、シングルクォートで囲まれたクリックイベントハンドラ内で渡されます。そのため、`json_encode` が使用されているにもかかわらず、攻撃者は ` ac' > ` などのペイロードを注入してこのバグを引き起こすことができます。この脆弱性により、低権限のユーザーがサーバー上に悪意のあるJSペイロードを組み込み、格納型XSS攻撃を実行することが可能になります。これにより、攻撃者がセッションクッキーを盗み出し、管理者になりすまして不正な操作を行うことが可能になります。バージョン7.0.4でこの問題は修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.