PT-2021-16848 · Openemr · Openemr

Publicado 2021-03-22 · Atualizado 2021-03-29 · CVE-2021-25918

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões 5.0.2 a 6.0.0 do OpenEMR

Descrição

O problema está relacionado a Stored Cross-Site-Scripting (XSS) devido à validação inadequada das entradas do usuário, que são então renderizadas na página do método de autenticação TOTP. Um invasor com privilégios elevados poderia injetar código arbitrário nos campos de entrada ao criar um novo usuário.

Recomendações

Para as versões 5.0.2 a 6.0.0 do OpenEMR, considere desativar a página do método de autenticação TOTP até que um patch esteja disponível para impedir a exploração. Restrinja o acesso aos campos de entrada do usuário para minimizar o risco de injeção de código arbitrário. Atualize para uma versão que inclua a validação adequada das entradas do usuário para resolver totalmente o problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-25918

Produtos afetados

Openemr

Referências · 7

• https://github.com/openemr/openemr/commit/0fadc3e592d84bc9dfe9e0403f8bd6e3c7d8427f · Correção
• https://whitesourcesoftware.com/vulnerability-database/CVE-2021-25918 · Nota
• https://osv.dev/vulnerability/CVE-2021-25918 · Aviso do Fabricante
• https://t.me/cibsecurity/25256 · Publicação no Telegram
• https://t.me/cvenotify/11720 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-25918 · Nota de Segurança
• https://t.me/cvenotify/11883 · Publicação no Telegram