CVE-2026-39932
Təsvir
OpenEMR 8.2.0 versiyasına qədər olan versiyalarda sənəd kateqoriyaları ağacı komponentində (library/classes/Tree.class.php) uzaqdan kodun icrası zəifliyi mövcuddur ki, bu da autentifikasiya olunmuş administratorlara kateqoriyalar verilənlər bazası cədvəlinə PHP faylları (payloads) yerləşdirməklə ixtiyari əməliyyat sistemi əmrlərini icra etməyə imkan verir. Hücumçular ixtiyari SQL icrasını birləşdirərək 'id' sütununun tipini VARCHAR olaraq dəyişdirə və zərərli PHP faylını daxil edə bilərlər; həmin fayl daha sonra, autentifikasiya olunmamış və aşağı imtiyazlı səhifələr də daxil olmaqla, hər hansı bir səhifə CategoryTree obyektini yaratdıqda təmizlənməmiş eval() çağırışı vasitəsilə icra edilir və nəticədə veb server istifadəçisi kimi əmr icrası baş verir.
Necə düzəltmək olar
- open-emr openemr8.2.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| open-emr openemr | v < 8.2.0 | 8.2.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.