openemr
OpenEMR: utenti con pochi permessi leggono sqlconf.php e scrivono file, con esecuzione di codice
Il problema, secondo i dati ufficiali
- Il modulo fax/sms di OpenEMR, nell'azione disposeDocument, non controlla il parametro file_path. Per questo c'è un problema di controllo degli accessi e di path traversal.
- Un utente autenticato con pochi permessi può leggere il file sqlconf.php e ottenere le credenziali del database. Può anche scrivere file arbitrari con i permessi dell'utente web, e questo consente l'esecuzione di codice da remoto.
- Lo sfruttamento avviene via rete e richiede un account qualsiasi, anche con pochi permessi, quindi il rischio riguarda anche le installazioni esposte su internet.
Cosa fare
- Aggiorna openemr alla versione 8.3.0 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- openemr: prima della 8.3.0
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
OpenEMR before 8.3.0 contains a broken access control and path traversal vulnerability in the fax/sms module disposeDocument action via an unvalidated file_path parameter. Authenticated low-privilege users can read sqlconf.php to recover database credentials and write arbitrary files as the web user, enabling remote code execution.
Non sai se ti riguarda?
Se usi openemr e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 12 novembre 2026. Prima di intervenire verifica l'avviso del produttore.