OpenEMR - CVE-2026-24898
Date de publication :
Il s’agit d’une vulnérabilité dans l’endpoint de callback MedEx d’OpenEMR.
OpenEMR est une application web open source de dossier patient informatisé (EHR) et de gestion de cabinet médical.
Ce point d’entrée désactive l’authentification via un indicateur interne et déclenche une connexion à MedEx dès qu’un paramètre POST callback_key est présent, sans vérification d’accès. La réponse renvoyée inclut les tokens API MedEx dans la sortie JSON.
Elle permet à un attaquant non authentifié d’obtenir ces tokens et d’accéder aux services MedEx associés.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à la confidentialité des données
Exploitation
CWE-287 : Improper Authentication
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
OpenEMR versions antérieures à 8.0.0