CVE-2026-25220
Açıklama
OpenEMR, ücretsiz ve açık kaynaklı bir elektronik sağlık kayıtları ve tıbbi uygulama yönetim uygulamasıdır. Versiyon 8.0.0 öncesinde, Message Center `show_all=yes` URL parametresini kabul eder ve bunu tüm dahili mesajları (tüm kullanıcıların notlarını) döndüren `getPnotesByUser()` fonksiyonuna iletir. Backend, `show_all=yes` parametresine yanıt vermeden önce istek yapan kullanıcının yönetici olup olmadığını doğrulamamaktadır. "Show All" bağlantısı ayrıca yönetici olmayan kullanıcılar tarafından da görülebilmektedir. Sonuç olarak, kimliği doğrulanmış herhangi bir kullanıcı `messages.php?show_all=yes` isteği göndererek tüm dahili mesaj listesini görüntüleyebilir. Versiyon 8.0.0 bu sorunu gidermektedir.
Nasıl düzeltilir
- open-emr openemr8.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| open-emr openemr | v < 8.0.0 | 8.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.