CVE-2026-24908 in OpenEMR

摘要

由 VulDB • 2026-06-22

OpenEMR是一款免费且开源的电子健康记录和医疗实践管理应用程序。在版本8.0.0之前，患者REST API端点中存在SQL注入漏洞，允许具有API访问权限的已认证用户通过`_sort`参数执行任意SQL查询。这可能导致数据库被非法访问、受保护的健康信息（PHI）泄露以及凭据被盗用。该问题是由于在使用ORDER BY子句时未对用户提供的排序字段名称进行适当的验证或标识符转义所致。版本8.0.0修复了此漏洞。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: GitHub M
• 预定: 2026-01-27
• 披露: 2026-02-25
• 管理: 已接受
• 条目: VDB-347851
• CPE: 准备好
• CWE: CWE-89 (已确认)
• CVSS: 6.5 (NVD)
• EPSS: 0.00491
• KEV: 否
• 活动: 非常低
• 部门: Chemical, Lawfirm, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-24908
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-24908
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-24908/