CVE-2025-67491

OpenEMR, ücretsiz ve açık kaynaklı bir elektronik sağlık kayıtları ve tıbbi uygulama yönetim uygulamasıdır. 5.0.0.5 ile 7.0.3.4 arasındaki sürümlerde, faturalandırma arayüzünün ub04 yardımcısında saklanan siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. `$data` değişkeni, uygun temizleme işlemi yapılmadan tek tırnaklar içinde bir tıklama olayı işleyicisine aktarılmaktadır. Bu nedenle, `json_encode` kullanılmasına rağmen kötü niyetli bir kullanıcı, hatayı tetiklemek için ` ac' ><img src=x onerror=alert(document.cookie)> ` gibi bir yük enjekte edebilir. Bu zafiyet, düşük yetkili kullanıcıların sunucuya kötü amaçlı JS yükleri yerleştirmesine ve saklanan XSS saldırısı gerçekleştirmesine olanak tanır. Bu durum ise kötü niyetli kullanıcıların oturum çerezlerini çalmasını ve yöneticileri taklit ederek yetkisiz işlemler gerçekleştirmesini mümkün kılar. Sürüm 7.0.4 bu sorunu gidermektedir.