Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-862

CVE-2026-115573

OpenEMR controller.php erişim kontrolü hatası: yetkisiz kimlik bilgisi değişikliği ve hasta bilgisi sızıntısı

openemr

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme giriş yapabilen düşük yetkili bir kullanıcının hasta kişisel ve sağlık verilerine ulaşmasına ve sigorta faturalandırma ayarlarını değiştirmesine olanak tanıyabilir. Hasta gizliliği ve yasal uyumluluk açısından yüksek risk taşır, bu nedenle öncelikli olarak güncelleme yapılması önerilir.

ÖzetTürkçe

OpenEMR elektronik sağlık kaydı ve muayenehane yönetim uygulamasında, 8.3.0 sürümünden önce controller.php üzerinden doğrudan çağrılabilen bazı denetleyiciler, CONTROLLER_ACL_MAP listesinde yer almadıkları için yetki denetiminden geçmemektedir. Bu nedenle sistemde düşük yetkili bir kimliği doğrulanmış kullanıcı, normalde yalnızca yönetici yetkisiyle erişilmesi gereken işlemleri gerçekleştirebilmektedir. Etkilenen kurulumlar 8.3.0 öncesi tüm OpenEMR sürümleridir.

Saldırgan ne yapabilir?

Saldırgan, sigorta yönlendirme sunucu ve kimlik bilgilerini oluşturabilir veya değiştirebilir, ayrıca hasta adları, doğum tarihleri ve kimlik numaralarını listeleyebilir.

Kaynaktaki açıklama (İngilizce)

OpenEMR is a free and open source electronic health records and medical practice management application. Prior to 8.3.0, library/classes/Controller.class.php allows explicit controller.php dispatch to controllers missing from CONTROLLER_ACL_MAP, and checkControllerAcl() returns without enforcing any permission for those entries. A low-privilege authenticated user can invoke C_X12Partner::edit_action_process() to create or alter insurance-routing hosts and credentials, or invoke C_PatientFinder::find_action_process() to enumerate patient names, dates of birth, and identifiers. The shared fail-open dispatcher root cause also exposes other administrative controllers that were intended to be reached through ACL-gated Practice Settings routes. This issue is fixed in version 8.3.0.

Ne yapmalı?

  1. OpenEMR'yi 8.3.0 veya sonraki bir sürüme güncelleyin. Üretici
  2. Güncellemeden önce gereksiz kullanıcı hesaplarını devre dışı bırakın ve yetkileri en aza indirin. Genel öneri
  3. Güncelleme sonrasında sigorta yönlendirme ayarlarını ve kimlik bilgilerini yetkisiz değişiklik açısından gözden geçirin. Genel öneri

Ek önlemler

  • Hasta kayıtlarına yapılan toplu sorgu ve dışa aktarma işlemlerini denetim günlüklerinden izleyin. Genel öneri
  • Yönetici yetkisi gerektiren ayar sayfalarına erişimi kullanıcı rolleriyle sınırlandırın ve düzenli olarak gözden geçirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
openemr < 8.3.0 8.3.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.