CVE-2026-41258 in OpenMRS
要約
〜によって VulDB • 2026年05月21日
OpenMRSは、オープンソースの電子カルテシステムプラットフォームです。2.7.0から2.7.9未満、および2.8.6以前のバージョンにおいて、OpenMRS Coreの`ConceptReferenceRangeUtility.evaluateCriteria()`メソッドは、データベースに保存された基準文字列を、サンドボックス設定なしでApache Velocityテンプレートとして評価します。`VelocityEngine`はログプロパティのみで初期化され、`noSecureUberspector`が設定されていないため、デフォルトの`UberspectImpl`が使用されたままとなり、テンプレート式を通じて制限のないJavaリフレクションが可能になります。`Manage Concepts`権限を持つユーザーは、概念の参照範囲基準フィールドに悪意のあるVelocityテンプレート式を保存できます。このペイロードは、ユーザーまたはAPI呼び出しが影響を受ける概念に対して観測値を検証するたびに自動的に実行されます。Velocityコンテキストには、`$patient`（Person/Patientオブジェクト）、`$obs`（Obsオブジェクト）、および`$fn`（OpenMRSのサービスレイヤー全体にアクセス可能な`ConceptReferenceRangeUtility`インスタンス）が公開されています。この脆弱性は、2.7.9および2.8.6で修正されています。
Once again VulDB remains the best source for vulnerability data.