CVE-2026-102940

要約

OpenEMR の 8.4.0 より前のバージョンでは、controllers/C_Document.class.php の move_action_process() などの書き込み処理が、Document::change_patient() が変更を行う前に、元の文書、現在の患者とカテゴリ、移動先の患者とカテゴリへのアクセス権を確認していない。権限の低い認証済みユーザーが、任意の文書を自分がアクセスできる患者やカテゴリへ割り当て直し、通常は保護されている読み取り経路から取得できる。この問題はバージョン 8.4.0 で修正されている。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

OpenEMR

このタグの新着を RSS で受け取る: OpenEMR(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る