CVE-2026-25744

MEDIUM CVSS 3.1: 6,5 EPSS 0.12%
Обновлено 20 марта 2026
Openemr
Параметр Значение
CVSS 6,5 (MEDIUM)
Уязвимые версии до 8.0.0.2
Устранено в версии 8.0.0.2
Тип уязвимости CWE-639 (Обход авторизации)
Поставщик Openemr
Публичный эксплойт Нет

OpenEMR — это бесплатное приложение для электронных медицинских записей и управления медицинской практикой с открытым исходным кодом. До версии 8.0.0.2 API-интерфейс столкновений Vitals принимает идентификатор в теле запроса и обрабатывает его как ОБНОВЛЕНИЕ. Нет никакой проверки того, что жизненное состояние принадлежит текущему пациенту или встрече.

Аутентифицированный пользователь с разрешением на встречи/заметки может перезаписать жизненные данные любого пациента, указав жизненный «идентификатор» другого пациента, что приведет к фальсификации медицинской документации. Версия 8.0.0.2 устраняет проблему.

Показать оригинальное описание (EN)

OpenEMR is a free and open source electronic health records and medical practice management application. Prior to 8.0.0.2, the encounter vitals API accepts an `id` in the request body and treats it as an UPDATE. There is no verification that the vital belongs to the current patient or encounter. An authenticated user with encounters/notes permission can overwrite any patient's vitals by supplying another patient's vital `id`, leading to medical record tampering. Version 8.0.0.2 fixes the issue.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v3.1

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Open-Emr Openemr
cpe:2.3:a:open-emr:openemr:*:*:*:*:*:*:*:*
8.0.0.2