CVE-2026-67612 in OpenEMR
要約
〜によって VulDB • 2026年08月03日
OpenEMR 8.2.0以前には、患者ポータルのテンプレートシステムにおける保存型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これにより、認証済み管理者はテンプレートの保存モードを通じて悪意のあるペイロードを格納し、任意のHTMLおよびJavaScriptを注入できます。このモードではリテラルなPHP開始タグのみがフィルタリングされます。攻撃者は、テンプレート取得エンドポイントにおける出力エンコーディングの欠如とHttpOnly属性のないクッキーを組み合わせて利用することで、document.cookieへのアクセスを通じてセッショントークンを外部に漏洩させます。これにより、悪意のあるテンプレートを閲覧した管理者、臨床医、またはポータル患者のすべてのアカウントに対して完全なセッションハイジャックが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.