Résumé
généré automatiquement à partir des données NVDOpenEMR avant la version 8.5.0 contient une injection SQL authentifiée (CWE-89) dans le module Syndromic Surveillance. Un utilisateur disposant de privilèges de niveau Clinician peut envoyer des valeurs forgées dans le paramètre POST form_icd_codes[] vers l'endpoint syndromicsurveillance/index, afin de lire et modifier le contenu de la base de données. La description évoque l'extraction de hachages bcrypt par extractvalue() de MySQL et la réinitialisation de mots de passe, ce qui permet la prise de contrôle d'un compte administrateur. Score CVSS v3.1 : 8.8 (HIGH).
Description NVD (anglais)
OpenEMR before 8.5.0 contains an authenticated SQL injection vulnerability in the Syndromic Surveillance module that allows users with Clinician-level privileges to read and modify arbitrary database contents by submitting crafted values in the form_icd_codes[] POST parameter to the syndromicsurveillance/index endpoint. Attackers can inject an unquoted numeric IN() clause and UNION DISTINCT SELECT statement using hex-encoded literals to abuse MySQL extractvalue() for error-based exfiltration of bcrypt password hashes and execute stacked queries that reset passwords, resulting in full administrative account takeover.
EPSS · FIRST.org
0,36 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 29 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 30 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 29 oct. 2026
- Mis à jour
- 29 oct. 2026
- Statut
- Awaiting Analysis
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (5)
CVEs similaires
Autres vulnérabilités de type CWE-89
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.