CVE-2026-124481
ŚrednieCVSS 6.5Streszczenie
OpenEMR w wersjach przed 8.4.0 zawiera podatność na nieprawidłową autoryzację w płatnościach portalu pacjenta Rainforest, która ufa wartościom patientId, encounter i amount dostarczonym przez przeglądarkę zamiast wyprowadzać je z sesji portalu. Uwierzytelnieni pacjenci portalu mogą manipulować JSON wysyłanym do portal_payment.rainforest.php, aby webhook payin.authorized zapisywał sfałszowane kredyty ar_activity na wizytach innych pacjentów przekraczające faktycznie zapłaconą kwotę.
Ocena ryzyka
Pacjenci mogą fałszować zapisy rozliczeniowe innych pacjentów, co prowadzi do błędów finansowych, oszustw i utraty integralności danych rozliczeniowych.
Rekomendacja
Zaktualizuj OpenEMR do wersji 8.4.0 lub nowszej. Do czasu aktualizacji weryfikuj wartości płatności po stronie serwera i monitoruj nietypowe zapisy ar_activity.
Inne podatności w OpenEMR
Zobacz wszystkie- CVE-2026-124489Wysokie
OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na złamaniu kontroli dostępu w pliku portal/portal_payment.php. Użytkownicy z niskimi uprawnieniami mogą obejść kontrole ACL rozliczeń poprzez manipulację identyfikatorami pacjentów (pid i form_pid), co pozwala na przeglądanie stron płatności i rejestrowanie fałszywych potwierdzeń płatności dla dowolnych pacjentów.
- CVE-2026-124488Wysokie
OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym klinicystom bez uprawnień do danych o wysokiej wrażliwości na odczyt i modyfikację formularzy powiązanych z wizytami poprzez load_form.php. Atakujący mogą uzyskać dostęp do zastrzeżonych treści (np. notatek klinicznych) i tokenu CSRF, a następnie modyfikować rekordy kliniczne przez save.php.
- CVE-2026-124487Średnie
OpenEMR w wersjach przed 8.4.0 zawiera podatność na nieprawidłową autoryzację w trasie POST /fhir/DocumentReference/$docref, która pozwala użytkownikom o niskich uprawnieniach na generowanie CCDA dowolnego pacjenta. Atakujący posiadający jedynie uprawnienia do danych demograficznych i dokumentów może podać parametr ofiary, a następnie pobrać pełny CCDA z dokumentów pacjenta, aby wyeksfiltrować dane kliniczne.
- CVE-2026-124486Wysokie
OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na braku autoryzacji w klasycznym kontrolerze dokumentów, co pozwala użytkownikom z niskimi uprawnieniami na zmianę kategorii dokumentów innych pacjentów. Atakujący mogą przenieść dokument do kategorii patients|demo, a następnie pobrać go z pustym patient_id, co umożliwia eksfiltrację danych PHI i manipulację kartotekami.
- CVE-2026-124485Średnie
OpenEMR w wersjach przed 8.3.0 zawiera podatność na obejście autoryzacji w API onsitedocuments portalu pacjenta, która pozwala uwierzytelnionym pacjentom czytać dokumenty innych pacjentów poprzez nadpisanie kryteriów zapytania. Atakujący mogą wysłać puste parametry pid_Equals i denialReason_IsNotLike, aby usunąć ograniczenia pacjenta i zablokowane filtry, ujawniając treści zgód, podpisy, ścieżki plików i dane szablonów.
- CVE-2026-124484Wysokie
OpenEMR w wersji przed 8.4.0 zawiera podatność polegającą na braku autoryzacji w API dokumentów portalowych, co pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do dokumentów innych pacjentów. Atakujący mogą pominąć parametr patientId i podać dowolne identyfikatory rekordów, aby wyświetlić, odczytać i nadpisać dokumenty portalowe, podpisy i dane szablonów innych pacjentów.
- CVE-2026-124483Wysokie
OpenEMR w wersji przed 8.4.0 zawiera podatność polegającą na nieprawidłowej autoryzacji, ponieważ trasy API REST recept sprawdzają ACL patients.med zamiast patients.rx i nie wymagają konkretnego bitu uprawnień, przez co dostęp tylko do odczytu historii medycznej przechodzi weryfikację. Uwierzytelnieni pracownicy mogą użyć tokenu APICSRFTOKEN do wyliczenia UUID recept, tworzenia fałszywych recept dla dowolnych pacjentów i dezaktywacji istniejących recept w całej instancji.
- CVE-2026-124482Średnie
OpenEMR w wersjach przed 8.4.0 zawiera obejście autoryzacji pozwalające użytkownikom SMART standalone-launch o niskich uprawnieniach na powiązanie dowolnych UUID pacjentów z kontekstem tokenu OAuth. Atakujący posiadający jedynie ACL patients|demo może wybrać ofiarę podczas autoryzacji i czytać jej notatki kliniczne oraz dokumenty poprzez punkty końcowe FHIR DocumentReference i Binary.
- CVE-2026-124480Wysokie
OpenEMR w wersji przed 8.4.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na odczyt danych FHIR QuestionnaireResponse innych pacjentów poprzez wysłanie nagłówka APICSRFTOKEN. Atakujący mogą użyć wartości api_csrf_token_js ujawnionej w sesji, aby pominąć kontrole zakresu FHIR i wywołać GET /fhir/QuestionnaireResponse, eksfiltrując PHI z odpowiedzi kwestionariuszy w całej instancji.
- CVE-2026-124479Średnie
OpenEMR w wersjach przed 8.4.0 zawiera podatność na dowolne lokalne odczytanie plików w pobieraniu dokumentów REST, gdzie kontroler przekazuje przechowywane bajty przesłanego dokumentu do Symfony BinaryFileResponse jako ścieżkę systemu plików zamiast zwracać je jako zawartość. Uwierzytelnieni użytkownicy z dostępem do przesyłania i pobierania dokumentów mogą przesłać dokument zawierający bezwzględną ścieżkę, taką jak lokalizacja sqlconf.php, a następnie pobrać go, aby odczytać pliki serwera i odzyskać poświadczenia bazy danych.
Oryginalny opis (angielski, źródło NVD)
OpenEMR before 8.4.0 contains an improper authorization vulnerability in Rainforest patient portal payments that trusts browser-supplied patientId, encounter, and amount values instead of deriving them from the portal session. Authenticated portal patients can tamper with JSON sent to portal_payment.rainforest.php so the payin.authorized webhook writes forged ar_activity credits to other patients' encounters exceeding the amount actually paid.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS