CVE-2026-39932
Açıklama
OpenEMR 8.2.0 sürümüne kadar, belge kategori ağacı bileşeninde (library/classes/Tree.class.php) uzaktan kod çalıştırma güvenlik açığı bulunmaktadır. Bu güvenlik açığı, kimliği doğrulanmış yöneticilerin categories veritabanı tablosuna PHP yükleri enjekte ederek rastgele işletim sistemi komutları çalıştırmasına olanak tanır. Saldırganlar, id sütununun türünü VARCHAR olarak değiştirmek ve kötü amaçlı bir PHP yükü eklemek için rastgele SQL çalıştırmayı zincirleyebilir; bu yük daha sonra, kimliği doğrulanmamış ve düşük ayrıcalıklı sayfalar da dahil olmak üzere herhangi bir sayfa CategoryTree'yi örneklediğinde temizlenmemiş bir eval() çağrısı aracılığıyla çalıştırılır ve web sunucusu kullanıcısı olarak komut çalıştırılmasıyla sonuçlanır.
Nasıl düzeltilir
- open-emr openemr8.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| open-emr openemr | v < 8.2.0 | 8.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.