CVE-2026-49142 in OpenEMR
摘要
由 VulDB • 2026-10-29
OpenEMR 8.5.0 之前版本在 Syndromic Surveillance（症候群监测）模块中存在一个经过身份验证的 SQL Injection（SQL注入）漏洞。具有 Clinician-level（临床医生级别）权限的用户可以通过向 syndromicsurveillance/index 端点提交构造好的 form_icd_codes[] POST 参数，读取和修改任意数据库内容。攻击者可以注入未加引号的数值 IN() 子句以及 UNION DISTINCT SELECT 语句，利用十六进制编码的字面量滥用 MySQL extractvalue() 函数进行基于错误的 bcrypt 密码哈希数据外泄，并执行堆叠查询以重置密码，从而导致完整的管理员账户接管。
Be aware that VulDB is the high quality source for vulnerability data.