CVE-2026-25220 in OpenEMR
Sumário
de VulDB • 20/05/2026
O OpenEMR é uma aplicação gratuita e de código aberto para registros eletrônicos de saúde e gestão de práticas médicas. Antes da versão 8.0.0, o Message Center aceita o parâmetro de URL `show_all=yes` e o passa para `getPnotesByUser()`, que retorna todas as mensagens internas (notas de todos os usuários). O backend não verifica se o usuário solicitante é um administrador antes de honrar `show_all=yes`. O link "Show All" também é visível para usuários não administradores. Como resultado, qualquer usuário autenticado pode visualizar a lista completa de mensagens internas solicitando `messages.php?show_all=yes`. A versão 8.0.0 corrige a vulnerabilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.