Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-49142

OpenEMR Syndromic Surveillance modülünde SQL enjeksiyonu (8.5.0 öncesi)

openemr

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
7 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, hasta kayıtlarını yöneten bir sistemde kötüye kullanılırsa veri sızıntısı ve yönetici hesabının ele geçirilmesine yol açabilir. Sağlık verilerinin korunması hem yasal hem de itibar açısından ciddi risk taşır. Etkilenen kurulumların hızla güncellenmesi önerilir.

ÖzetTürkçe

OpenEMR'un 8.5.0 öncesi sürümlerinde, Syndromic Surveillance modülündeki form_icd_codes[] POST parametresi yeterince temizlenmediği için kimliği doğrulanmış SQL enjeksiyonu açığı bulunmaktadır. Klinisyen yetkisine sahip kullanıcılar bu açığı kullanarak veritabanı içeriğini okuyabilir ve değiştirebilir. Açık, bu modülü kullanan tüm OpenEMR kurulumlarını etkilemektedir.

Saldırgan ne yapabilir?

Saldırgan, hata tabanlı yöntemlerle bcrypt parola özetlerini çalabilir ve parolaları sıfırlayarak tam yönetici hesabını ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

OpenEMR before 8.5.0 contains an authenticated SQL injection vulnerability in the Syndromic Surveillance module that allows users with Clinician-level privileges to read and modify arbitrary database contents by submitting crafted values in the form_icd_codes[] POST parameter to the syndromicsurveillance/index endpoint. Attackers can inject an unquoted numeric IN() clause and UNION DISTINCT SELECT statement using hex-encoded literals to abuse MySQL extractvalue() for error-based exfiltration of bcrypt password hashes and execute stacked queries that reset passwords, resulting in full administrative account takeover.

Ne yapmalı?

  1. OpenEMR'u 8.5.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltmeden önce veritabanı ve dosyalar için yedek alın. Genel öneri
  3. Yükseltme sonrası Clinician yetkisine sahip hesapların ve yönetici hesaplarının parolalarını değiştirin. Genel öneri
  4. Veritabanındaki kullanıcı kayıtlarında beklenmeyen değişiklik olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • Yükseltene kadar Syndromic Surveillance modülüne erişimi kısıtlayın veya geçici olarak devre dışı bırakın. Genel öneri
  • Yönetici hesaplarında çok faktörlü kimlik doğrulama kullanın. Genel öneri
  • Veritabanı ve uygulama hata günlüklerini olağandışı SQL hataları ve yetkisiz parola sıfırlama işlemleri açısından izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
openemr < 8.5.0 8.5.0

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.