同じ製品で同じ時期に公表された 4 件の脆弱性の 1 つです。まとめた解説: OpenEMRに重大な脆弱性4件、修正版8.3.0が公開
重大
9.9
OpenEMR before 8.3.0 SQL Injection via Fee Sheet warehouse parameter
CVE-2026-124469
SecPulse初出
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| openemropenemr |
8.3.0 未満→ 8.3.0 |
8.3.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
OpenEMR before 8.3.0 contains an SQL injection vulnerability in the Fee Sheet drug-inventory lookup (DrugSalesService::sellDrug) that interpolates the prod[N][warehouse] POST field into an ORDER BY clause. Low-privileged authenticated users can submit Fee Sheet product lines with constant subqueries to run a time-based blind oracle, extracting patient data and users_secure bcrypt hashes.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com