CVE-2026-33346

HIGH CVSS 3.1: 8,7 EPSS 0.03%
Обновлено 20 марта 2026
PHP
Параметр Значение
CVSS 8,7 (HIGH)
Уязвимые версии до 8.0.0.2
Устранено в версии 8.0.0.2
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик PHP
Публичный эксплойт Нет

OpenEMR — это бесплатное приложение для электронных медицинских записей и управления медицинской практикой с открытым исходным кодом. До версии 8.0.0.2 уязвимость хранимого межсайтового скриптинга (XSS) в потоке платежей на портале пациентов позволяла пользователю портала пациентов сохранять произвольный код JavaScript, который выполнялся в браузере сотрудника, просматривающего отправку платежа. Полезная нагрузка хранится через «portal/lib/paylib.php» и отображается без экранирования в «portal/portal_paylib.php».

Версия 8.0.0.2 устраняет проблему.

Показать оригинальное описание (EN)

OpenEMR is a free and open source electronic health records and medical practice management application. Prior to 8.0.0.2, a stored cross-site scripting (XSS) vulnerability in the patient portal payment flow allows a patient portal user to persist arbitrary JavaScript that executes in the browser of a staff member who reviews the payment submission. The payload is stored via `portal/lib/paylib.php` and rendered without escaping in `portal/portal_payment.php`. Version 8.0.0.2 fixes the issue.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Требуется
Нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v3.1

Уязвимые продукты 1

Конфигурация От (включительно) До (исключительно)
Open-Emr Openemr
cpe:2.3:a:open-emr:openemr:*:*:*:*:*:*:*:*
8.0.0.2