CVE-2026-25164 in OpenEMR
要約
〜によって VulDB • 2026年06月07日
OpenEMRは、フリーかつオープンソースの電子健康記録（EHR）および医療業務管理アプリケーションです。バージョン8.0.0より前では、`apis/routes/_rest_routes_standard.inc.php`内のREST APIルートテーブルにおいて、ドキュメントおよび保険関連のルートで `RestConfig::request_authorization_check()` が呼び出されていません。同じファイル内にある他の患者情報関連のルート（例：encounters, patients/med）は、適切なACLと共にこのチェックを呼び出しています。その結果、有効なAPIベアラートokenであれば、トークンが持つOpenEMR ACLに関係なく、すべての患者のドキュメントおよび保険データにアクセスまたは変更することが可能となり、認証済みAPIクライアントに対してすべての機微情報（PHI）であるドキュメントおよび保険情報が実質的に公開されることになります。この問題はバージョン8.0.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.