Firehed

**Name of the Vulnerable Software and Affected Versions** OpenEMR versions 5.0.2 through 8.0.0 **Description** OpenEMR is an electronic health records and medical practice management application. Versions between 5.0.2 and before 8.0.0 have paths where the `gateway api key` secret value is rendered to the client in plaintext. Exposure of these secret keys could lead to unauthorized money movement or account takeover of payment gateway APIs. The `gateway api key` is a sensitive variable used for accessing payment gateway APIs. **Recommendations** Update to OpenEMR version 8.0.0.

**Nome do software vulnerável e versões afetadas** Versões do PHP 8.1.* a 8.1.27 Versões do PHP 8.2.* a 8.2.17 Versões do PHP 8.3.* a 8.3.4 **Descrição** O problema está relacionado ao processo de verificação de senha no PHP. Se uma senha armazenada com `password hash()` começar com um byte nulo (`x00`), testar uma string vazia como senha via `password verify()` retornará incorretamente o valor true. Essa falha pode permitir que um invasor remoto contorne o processo de autenticação e obtenha acesso não autorizado a um aplicativo web. **Recomendações** Para as versões do PHP 8.1.* a 8.1.27, atualize para a versão 8.1.28 ou posterior. Para as versões do PHP 8.2.* a 8.2.17, atualize para a versão 8.2.18 ou posterior. Para as versões do PHP 8.3.* a 8.3.4, atualize para a versão 8.3.5 ou posterior. Como solução temporária, considere restringir o uso da função `password verify()` até que um patch esteja disponível. Evite usar senhas que comecem com um byte nulo (`x00`) nas versões afetadas do PHP.