CVE-2026-40508
ŚrednieCVSS 5.4Streszczenie
OpenEMR przed wersją 8.3.0 zawiera podatność na trwały cross-site scripting (XSS) w imporcie szablonów portalu pacjenta. Uwierzytelnieni atakujący z uprawnieniami Forms Administration mogą przesyłać pliki szablonów zawierające dowolny HTML lub JavaScript. Złośliwe skrypty są przechowywane bez sanityzacji i wykonują się w przeglądarce każdego innego użytkownika Forms Administration, który przegląda szablon w edytorze HTML.
Ocena ryzyka
Trwały XSS może umożliwić przejęcie sesji użytkowników administracyjnych, kradzież danych lub wykonanie nieautoryzowanych działań w systemie.
Rekomendacja
Zaktualizuj OpenEMR do wersji 8.3.0 lub nowszej, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
OpenEMR before 8.3.0 contains a stored cross-site scripting vulnerability in the patient portal template import handler that allows authenticated attackers with Forms Administration permissions to upload template files containing arbitrary HTML or JavaScript. Attackers can inject malicious scripts through the template upload functionality, which are stored without sanitization and execute in the browser of any other Forms Administration user who views the template in the HTML editor.