CVE-2026-104136

W OpenEMR przed wersją 8.2.0 moduł faksu (SignalWireClient) odszyfrowuje dokument pacjenta i zapisuje go w postaci jawnej pod sites/{siteId}/fax, chroniąc go tylko przewidywalną nazwą uniqid() i nie usuwając pliku. Nieuwierzytelniony atakujący może odczytać trwałe dokumenty pacjentów, nawet przy włączonym szyfrowaniu dysku.

W OpenEMR przed wersją 8.3.0 plik library/classes/Controller.class.php pozwala na jawne wywołanie controller.php dla kontrolerów nieobecnych w CONTROLLER_ACL_MAP, a checkControllerAcl() nie egzekwuje żadnych uprawnień dla takich wpisów. Użytkownik z niskimi uprawnieniami może wywołać C_X12Partner::edit_action_process() w celu utworzenia lub zmiany hostów i poświadczeń routingu ubezpieczeniowego albo C_PatientFinder::find_action_process() w celu wyliczenia danych pacjentów. Wspólna przyczyna fail-open w dyspozytorze odsłania także inne kontrolery administracyjne.

W OpenEMR przed wersją 8.3.0 gałąź sms_search w interface/main/messages/save.php wymaga uwierzytelnionej sesji, ale nie egzekwuje ACL na poziomie pacjenta ani funkcji. Użytkownik z niskimi uprawnieniami, który nie ma dostępu do danych pacjentów przez normalny interfejs, może przeszukać endpoint MedEx SMS i otrzymać identyfikatory pacjentów, imiona, numery telefonów, status zgody SMS oraz informacje o ostatnich wiadomościach.

W OpenEMR przed wersją 8.3.0 plik interface/modules/custom_modules/oe-module-dorn/public/compendium_install.php sprawdza uwierzytelnienie i CSRF, ale nie wymaga ACL admin/users egzekwowanego przez siostrzane skrypty administracyjne DORN. Gdy moduł DORN jest włączony, użytkownik z niskimi uprawnieniami może podać labGuid, który powoduje, że LabCompendiumInstall::uninstall() usuwa typy procedur detail i result oraz dezaktywuje typy zamówień przed krokiem ponownej instalacji.

W OpenEMR przed wersją 8.3.0 plik interface/patient_file/pos_checkout_ippf.php wykonuje operacje zmieniające stan void, voidall i regen przez żądania GET bez walidacji tokenu CSRF. Kontrola integralności form_checksum jest warunkowa i pomijana, gdy parametr zostanie pominięty, co pozwala żądaniu cross-site wymusić na uwierzytelnionym użytkowniku rozliczeń anulowanie checkoutów lub regenerację liczników faktur.

W OpenEMR przed wersją 8.3.0 pliki interface/forms/transfer_summary/new.php i interface/forms/functional_cognitive_status/new.php renderują zapisane wartości transfer_to, code i codetext za pomocą text(), które używa ENT_NOQUOTES, wewnątrz atrybutów HTML value w podwójnych cudzysłowach. Uwierzytelniony użytkownik kliniczny może zapisać wartość zawierającą podwójny cudzysłów, który ucieka z atrybutu i wstrzykuje znaczniki obsługi zdarzeń, gdy inny klinicysta otworzy formularz.

Aplikacja OpenEMR w wersjach 5.0.0, 5.0.1-dev i wcześniejszych jest podatna na lukę umożliwiającą eskalację uprawnień w pionie. Luka ta pozwala uwierzytelnionym użytkownikom niebędącym administratorami na przeglądanie i modyfikowanie informacji dostępnych tylko dla administratorów.

OpenEMR w wersjach przed 5.0.0 Patch 5 umożliwia nieautoryzowane zdalne kopiowanie bazy danych, ponieważ plik setup.php udostępnia funkcjonalność klonowania istniejącej witryny OpenEMR na dowolny serwer MySQL kontrolowany przez atakującego za pomocą spreparowanego parametru stanu.

OpenEMR w wersji 5.0.0 i wcześniejszych pozwala użytkownikom o niskich uprawnieniach na przesyłanie plików niebezpiecznych typów, co może prowadzić do wykonania dowolnego kodu w kontekście podatnej aplikacji.

OpenEMR przed wersją 8.4.0 ma błąd w kontrolerach C_Document.class.php: akcje zapisu, w tym move_action_process(), nie weryfikują dostępu wywołującego do dokumentu źródłowego, bieżącego pacjenta i kategorii ani do docelowego pacjenta i kategorii przed wykonaniem mutacji przez Document::change_patient(). Nisko uprzywilejowany uwierzytelniony użytkownik może przypisać dowolny dokument do pacjenta lub kategorii, do której ma dostęp, a następnie go odczytać.