Към съдържанието
Търсене

CVE-2026-49142: openemr, инжекция

8.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

    Описание

    Оригинално описание

    OpenEMR before 8.5.0 contains an authenticated SQL injection vulnerability in the Syndromic Surveillance module that allows users with Clinician-level privileges to read and modify arbitrary database contents by submitting crafted values in the form_icd_codes[] POST parameter to the syndromicsurveillance/index endpoint. Attackers can inject an unquoted numeric IN() clause and UNION DISTINCT SELECT statement using hex-encoded literals to abuse MySQL extractvalue() for error-based exfiltration of bcrypt password hashes and execute stacked queries that reset passwords, resulting in full administrative account takeover.

    Засегнати продукти

    • openemr openemr: преди 8.5.0

    Вид слабост

    История

    • 29 октомври 2026 Публикувано

    Други уязвимости в openemr openemr

    Първоизточници

    CVE-2026-49142: openemr, инжекция | freedomonline.bg