CVE-2026-39932
KrytyczneCVSS 9.1Streszczenie
OpenEMR do wersji 8.2.0 zawiera lukę zdalnego wykonania kodu w komponencie drzewa kategorii dokumentów (library/classes/Tree.class.php), która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego poprzez wstrzyknięcie ładunków PHP do tabeli kategorii bazy danych. Atakujący mogą połączyć dowolne wykonanie SQL, aby zmienić typ kolumny id na VARCHAR i wstawić złośliwy ładunek PHP, który jest następnie wykonywany przez niesanitizowane wywołanie eval() przy każdym uruchomieniu CategoryTree, w tym na stronach nieuwierzytelnionych i o niskich uprawnieniach, co skutkuje wykonaniem poleceń jako użytkownik serwera WWW.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie serwera WWW i dostęp do wszystkich danych medycznych, co może prowadzić do naruszenia poufności pacjentów i przerwania działania systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenEMR do wersji powyżej 8.2.0 oraz ograniczenie uprawnień administratorów i stosowanie bezpiecznych praktyk kodowania, takich jak parametryzacja zapytań SQL i unikanie eval().
Oryginalny opis (angielski, źródło NVD)
OpenEMR through 8.2.0 contains a remote code execution vulnerability in the document category tree component (library/classes/Tree.class.php) that allows authenticated administrators to execute arbitrary operating system commands by injecting PHP payloads into the categories database table. Attackers can chain arbitrary SQL execution to alter the id column type to VARCHAR and insert a malicious PHP payload, which is then executed via an unsanitized eval() call whenever any page instantiates CategoryTree, including unauthenticated and low-privilege pages, resulting in command execution as the web server user.