PT-2021-16847 · Openemr · Openemr

Publicado 2021-03-22 · Atualizado 2021-03-29 · CVE-2021-25917

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 5.0.2 a 6.0.0 do OpenEMR

Descrição

O problema está relacionado a um ataque de Stored Cross-Site-Scripting (XSS) devido à validação inadequada das entradas do usuário, que são exibidas na página do método de autenticação por dispositivo USB U2F. Um invasor com privilégios elevados poderia injetar código arbitrário nos campos de entrada ao criar um novo usuário.

Recomendações

Para as versões 5.0.2 a 6.0.0 do OpenEMR, considere desativar a página do método de autenticação por dispositivo USB U2F até que um patch esteja disponível para impedir a exploração da vulnerabilidade de Stored Cross-Site-Scripting (XSS). Restrinja o acesso aos campos de entrada no processo de criação de usuários para minimizar o risco de injeção de código arbitrário.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-25917

Produtos afetados

Openemr

Referências · 6

• https://github.com/openemr/openemr/commit/0fadc3e592d84bc9dfe9e0403f8bd6e3c7d8427f · Correção
• https://t.me/cibsecurity/25260 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-25917 · Aviso do Fabricante
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25917 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-25917 · Nota de Segurança
• https://t.me/cvenotify/11884 · Publicação no Telegram