CVE-2026-25476

OpenEMR, ücretsiz ve açık kaynaklı bir elektronik sağlık kayıtları ve tıbbi uygulama yönetim uygulamasıdır. Versiyon 8.0.0 öncesinde, `library/auth.inc.php` dosyasındaki oturum sona erme kontrolü yalnızca istekte `skip_timeout_reset` bulunmadığında çalışır. `skip_timeout_reset=1` gönderildiğinde, `SessionTracker::isSessionExpired()` fonksiyonunu çağıran ve zaman aşımında çıkış yapılmasını zorunlu kılan tüm blok atlanır. Sonuç olarak, bu parametreyi içeren herhangi bir istek (örneğin Hasta Akış Panosu gibi otomatik yenileme sayfalarından gelenler), sona erme kontrolünü hiçbir zaman çalıştırmaz: süresi dolmuş oturumlar verilere süresiz olarak erişmeye devam edebilir, terk edilmiş iş istasyonları aktif kalır ve çalınmış bir oturum çerezine sahip olan bir saldırgan, oturumdan çıkmayı önlemek için `skip_timeout_reset=1` göndermeye devam edebilir. Versiyon 8.0.0 bu sorunu düzeltmektedir.