CVE-2026-40507
ŚrednieCVSS 6.1Streszczenie
OpenEMR przed wersją 8.3.0 zawiera podatność na odbity cross-site scripting (XSS) w imporcie szablonów portalu pacjenta. Parametr GET templateHtml jest odzwierciedlany w odpowiedzi strony bez sanityzacji. Atakujący może stworzyć URL, który wykonuje dowolny JavaScript w przeglądarce każdego uwierzytelnionego użytkownika z uprawnieniami Forms Administration, który odwiedzi link, umożliwiając przejęcie sesji.
Ocena ryzyka
Odbity XSS może umożliwić przejęcie sesji użytkowników administracyjnych, co może prowadzić do nieautoryzowanego dostępu do danych lub działań.
Rekomendacja
Zaktualizuj OpenEMR do wersji 8.3.0 lub nowszej, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
OpenEMR before 8.3.0 contains a reflected cross-site scripting vulnerability in the patient portal template import handler. The templateHtml GET parameter is reflected into the page response without sanitization. An attacker can craft a URL that executes arbitrary JavaScript in the browser of any authenticated user with Forms Administration permissions who visits the link, enabling session hijacking.