openemr
OpenEMR: SQL injection nel Fee Sheet permette di estrarre dati dei pazienti e hash
Il problema, secondo i dati ufficiali
- Nella ricerca dei farmaci a magazzino del Fee Sheet (DrugSalesService::sellDrug), il campo POST prod[N][warehouse] viene inserito direttamente in una clausola ORDER BY. Questo permette una SQL injection.
- Può sfruttarla un utente autenticato con pochi permessi, inviando righe prodotto del Fee Sheet con sottoquery costanti per eseguire un'interrogazione di tipo time-based blind. L'attacco si sfrutta via rete, quindi anche da internet se il servizio è esposto.
- In questo modo si possono estrarre dati dei pazienti e gli hash bcrypt della tabella users_secure.
- La scheda raccoglie 3 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- Aggiorna openemr alla versione 8.3.0 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- openemr: prima della 8.3.0
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
- github.com — avviso del produttore
Descrizione ufficiale (in inglese)
OpenEMR before 8.3.0 contains an SQL injection vulnerability in the Fee Sheet drug-inventory lookup (DrugSalesService::sellDrug) that interpolates the prod[N][warehouse] POST field into an ORDER BY clause. Low-privileged authenticated users can submit Fee Sheet product lines with constant subqueries to run a time-based blind oracle, extracting patient data and users_secure bcrypt hashes.
Non sai se ti riguarda?
Se usi openemr e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 9 novembre 2026. Prima di intervenire verifica l'avviso del produttore.