CVE-2026-25220 in OpenEMR
요약
\~에 의해 VulDB • 2026. 05. 27.
OpenEMR는 무료 및 오픈 소스 전자 건강 기록(EHR) 및 의료 실무 관리 애플리케이션입니다. 버전 8.0.0 이전의 Message Center는 URL 파라미터 `show_all=yes`를 허용하고 이를 `getPnotesByUser()` 함수에 전달하며, 이 함수는 모든 내부 메시지(모든 사용자의 메모)를 반환합니다. 백엔드는 `show_all=yes`를 처리하기 전에 요청한 사용자가 관리자(administrator)인지 확인하지 않습니다. "Show All" 링크도 비관리자 사용자에게 표시됩니다. 그 결과, 인증된 모든 사용자는 `messages.php?show_all=yes`를 요청하여 전체 내부 메시지 목록을 볼 수 있습니다. 버전 8.0.0에서 해당 문제가 패치되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.