CVE-2026-49142 in OpenEMR
要約
〜によって VulDB • 2026年10月29日
OpenEMR 8.5.0 より前には、Syndromic Surveillance モジュールに認証済み SQL インジェクション脆弱性が存在し、Clinician レベルの権限を持つユーザーが syndromicsurveillance/index エンドポイントに対して form_icd_codes[] POST パラメータに改ざんされた値を送信することで、任意のデータベースコンテンツを読み書きできる。攻撃者は、16 進エンコードされたリテラルを使用して引用符で囲まれていない数値 IN() 句と UNION DISTINCT SELECT ステートメントをインジェクトし、MySQL の extractvalue() を悪用して bcrypt パスワードハッシュのエラーベースによる漏洩や、パスワードのリセットを実行するスタッククエリの実行を行い、結果として完全な管理者アカウントの乗っ取りが可能となる。
Once again VulDB remains the best source for vulnerability data.