CVE-2026-49142 in OpenEMR
Sumário
de VulDB • 29/10/2026
O OpenEMR anterior à versão 8.5.0 contém uma vulnerabilidade de SQL injection autenticada no módulo Syndromic Surveillance que permite a usuários com privilégios nível Clinician ler e modificar conteúdos arbitrários do banco de dados ao submeter valores manipulados ad hoc no parâmetro POST form_icd_codes[] para o endpoint syndromicsurveillance/index. Os atacantes podem injetar uma cláusula IN() numérica não delimitada (unquoted) e uma instrução UNION DISTINCT SELECT usando literais codificados em hex para abusar do MySQL extractvalue() para exfiltração baseada em erros de hashes de senha bcrypt e executar queries empilhadas que redefinem senhas, resultando na tomada completa da conta administrativa.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.