OpenEMR: SQL-Injection im Modul Syndromic Surveillance ermöglicht Admin-Übernahme
OpenEMR vor Version 8.5.0 enthält eine SQL-Injection im Modul Syndromic Surveillance, die über den Parameter form_icd_codes[] erreichbar ist. Ein Angreifer mit einem Konto auf Clinician-Stufe kann Datenbankinhalte lesen und verändern, einschliesslich bcrypt-Passwort-Hashes, und Passwörter zurücksetzen, was zu einer vollständigen Übernahme administrativer Konten führen kann. Für die Ausnutzung ist ein gültiges Clinician-Konto erforderlich; der Hersteller hat das Problem in Version 8.5.0 behoben.
OpenEMR · OpenEMR
