OpenEMRに重大な脆弱性4件、修正版8.3.0が公開
Summary
OpenEMRの8.3.0より前の版に、患者データの流出やサーバー乗っ取りにつながる重大な脆弱性が4件見つかりました。修正版の8.3.0へ更新し、FAX/SMSモジュールの利用有無とアクセスログを確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
OpenEMRの8.3.0より前の版に、患者データの流出やサーバー乗っ取りにつながる重大な脆弱性が4件見つかりました。修正版の8.3.0へ更新し、FAX/SMSモジュールの利用有無とアクセスログを確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| openemropenemr |
< 8.3.0→ 8.3.0 |
8.3.0 |
Original description The description as published by the source.
OpenEMR before 8.3.0 contains a broken access control and path traversal vulnerability in the fax/sms module disposeDocument action via an unvalidated file_path parameter. Authenticated low-privilege users can read sqlconf.php to recover database credentials and write arbitrary files as the web user, enabling remote code execution.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com