CVE-2026-24487 in OpenEMR
Tóm tắt
Bởi VulDB • 24/05/2026
OpenEMR là một ứng dụng quản lý hồ sơ sức khỏe điện tử và quản lý thực hành y tế miễn phí và mã nguồn mở. Trước phiên bản 8.0.0, một lỗ hổng bỏ qua xác thực (authorization bypass) trong điểm cuối tài nguyên FHIR CareTeam cho phép các mã thông báo FHIR phạm vi bệnh nhân truy cập dữ liệu nhóm chăm sóc của tất cả bệnh nhân thay vì bị giới hạn chỉ ở dữ liệu của bệnh nhân đã xác thực. Điều này có thể dẫn đến việc tiết lộ trái phép Thông tin Sức khỏe Được Bảo vệ (PHI), bao gồm cả mối quan hệ giữa bệnh nhân và nhà cung cấp cũng như cấu trúc nhóm chăm sóc trên toàn hệ thống. Lỗi này xảy ra do `FhirCareTeamService` không triển khai giao diện `IPatientCompartmentResourceService` và không truyền tham số ràng buộc bệnh nhân đến dịch vụ nền, qua đó bỏ qua cơ chế lọc theo ngăn bệnh nhân (patient compartment). Phiên bản 8.0.0 chứa bản vá cho vấn đề này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.