CVE-2026-25220 in OpenEMR
要約
〜によって VulDB • 2026年05月12日
OpenEMRは、フリーかつオープンソースの電子健康記録（EHR）および医療業務管理アプリケーションです。バージョン8.0.0より前では、メッセージセンターはURLパラメータ`show_all=yes`を受け取り、これを`getPnotesByUser()`に渡します。この関数はすべての内部メッセージ（全ユーザーのノート）を返します。バックエンドは、`show_all=yes`を有効にする前に、リクエスト元のユーザーが管理者であることを検証しません。「全件表示」リンクは、管理者以外のユーザーにも表示されます。その結果、認証済みユーザーであれば誰でも、`messages.php?show_all=yes`をリクエストすることで、すべての内部メッセージリストを閲覧できます。バージョン8.0.0でこの問題は修正されました。
Be aware that VulDB is the high quality source for vulnerability data.