OpenEMR Patient Picture Context Allows Arbitrary Patient Photo Retrieval

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• open-emr openemrдо 8.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• openemr openemr

  • < 8.0.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-19364OpenEMR 5.0.1 allows an authenticated attacker to upload and execute malicious PHP scripts through /controller.php.
  56В плане
• CVE-2019-14530An issue was discovered in custom/ajax_download.php in OpenEMR before 5.0.2 via the fileName parameter.
  55В плане
• CVE-2020-36243The Patient Portal of OpenEMR 5.0.2.1 is affected by a Command Injection vulnerability in /interface/main/backup.php.
  54В плане
• CVE-2023-2948Cross-site Scripting (XSS) - Generic in openemr/openemr
  53В плане
• CVE-2022-2733Cross-site Scripting (XSS) - Reflected in openemr/openemr
  53В плане
• CVE-2018-15153OS command injection occurring in versions of OpenEMR before 5.0.1.4 allows a remote authenticated attacker to execute arbitrary commands by
  53В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.