OpenEMR - CVE-2026-24898

Date de publication :

Il s’agit d’une vulnérabilité dans l’endpoint de callback MedEx d’OpenEMR. 

OpenEMR est une application web open source de dossier patient informatisé (EHR) et de gestion de cabinet médical.

Ce point d’entrée désactive l’authentification via un indicateur interne et déclenche une connexion à MedEx dès qu’un paramètre POST callback_key est présent, sans vérification d’accès. La réponse renvoyée inclut les tokens API MedEx dans la sortie JSON. 

Elle permet à un attaquant non authentifié d’obtenir ces tokens et d’accéder aux services MedEx associés.

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

Atteinte à la confidentialité des données

Exploitation

La vulnérabilité exploitée est du type
CWE-287 : Improper Authentication

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

OpenEMR versions antérieures à 8.0.0

Solutions ou recommandations

OpenEMR versions 8.0.0 et supérieures