openemr
OpenEMR: token monouso riutilizzabili e PIN senza limiti, accesso al portale pazienti
Il problema, secondo i dati ufficiali
- In OpenEMR il file src/Common/Auth/OneTimeAuth.php ignora le impostazioni enforce_onetime_use e max_access_count, non revoca mai i token service_auth già usati e controlla il login_pin senza limitare i tentativi e senza confronto rigoroso.
- Chi ha un token catturato può riutilizzarlo più volte oppure tentare di indovinare il PIN a forza bruta, e così aprire sessioni nel portale pazienti che espongono dati sanitari protetti (PHI).
- Secondo il punteggio ufficiale, la falla si sfrutta via rete (anche da internet, se il servizio è esposto) e senza bisogno di un account.
Cosa fare
- Aggiorna openemr alla versione 8.4.0 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- openemr: dalla 7.0.1 alla 8.4.0 esclusa
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
OpenEMR from 7.0.1 before 8.4.0 contains a flaw in src/Common/Auth/OneTimeAuth.php that ignores the enforce_onetime_use and max_access_count flags, never revokes consumed service_auth tokens, and checks login_pin without rate limiting or strict comparison. Attackers holding a captured token can replay it or brute-force the PIN to open patient-portal sessions exposing PHI.
Non sai se ti riguarda?
Se usi openemr e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.