CVE-2026-49142 in OpenEMR
요약
\~에 의해 VulDB • 2026. 10. 29.
OpenEMR 8.5.0 이전 버전에는 Syndromic Surveillance 모듈에서 인증된 SQL injection 취약점이 존재합니다. 이 취약점은 Clinician 수준의 권한을 가진 사용자가 syndromicsurveillance/index 엔드포인트로 form_icd_codes[] POST 파라미터에 조작된 값을 제출하여 임의의 데이터베이스 내용을 읽거나 수정할 수 있게 합니다. 공격자는 hex-encoded 리터럴을 사용하여 인용되지 않은 numeric IN() 절과 UNION DISTINCT SELECT 문을 삽입하고, MySQL extractvalue() 함수를 악용하여 bcrypt 비밀번호 해시의 오류 기반(exfiltration) 유출 및 스택드 쿼리(stacked queries) 실행이 가능하며, 이를 통해 비밀번호 재설정을 수행하여 전체 관리자 계정 장악(full administrative account takeover)을 달성할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.