CVE-2026-44715

WysokieCVSS 8.7

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

OpenMRS to otwartoźródłowa platforma elektronicznej dokumentacji medycznej. W wersjach przed 1.23.0 i 2.10.0 uwierzytelniony użytkownik może wywołać administracyjne usługi DWR. W szczególności dostępna jest metoda startHl7ArchiveMigration, która powinna być ograniczona do kont o uprawnieniach administratora.

Ocena ryzyka

Uwierzytelniony użytkownik bez uprawnień administratora może wywołać operacje administracyjne, co może prowadzić do nieautoryzowanych zmian w systemie. Stanowi to naruszenie kontroli dostępu.

Rekomendacja

Zaktualizuj OpenMRS do wersji 1.23.0 lub 2.10.0 (lub nowszej), które zawierają poprawkę. Zweryfikuj, czy dostęp do metod DWR jest prawidłowo ograniczony do kont administracyjnych.

Inne podatności w OpenMRS

CVE-2025-25925Średnie
W OpenMRS v2.4.3 Build 0ff0ed wykryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru personName.middleName w formularzu /openmrs/admin/patients/shortPatientForm.form, co prowadzi do wykonania skryptu w przeglądarce ofiary.

Oryginalny opis (angielski, źródło NVD)

OpenMRS is an open source electronic medical record system platform. Prior to versions 1.23.0 and 2.10.0, an authenticated user can trigger administrative DWR services. Specifically, the `startHl7ArchiveMigration` method is accessible, which should be restricted to admin-level accounts. Versions 1.23.0 and 2.10.0 patch the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS