CVE-2026-103939
OpenEMR: Weno `file_download.php`: missing ACL/CSRF truncates the e-prescribing pharmacy directory
CVSS 3.1Medium
5.4/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите OpenEMR до версии 8.3.0.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В модуле Weno для OpenEMR отсутствуют проверки ACL и CSRF, что позволяет очистить справочник аптек для электронных рецептов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В версии до 8.3.0 скрипт interface/modules/custom_modules/oe-module-weno/scripts/file_download.php игнорирует результат validateAdminCredentials(), а стандартный GET-запрос вызывает PharmacyService::removeWenoPharmacies(). Операцию может инициировать любой аутентифицированный пользователь или межсайтовый запрос через авторизованную жертву при включённом модуле Weno.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Очистка таблицы weno_pharmacy; при неудачной последующей загрузке справочник аптек для электронных рецептов становится пустым и недоступным.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-103939: OpenEMR: Weno `file_download.php`: missing ACL/CSRF truncates the e-prescribing pharmacy directory. URL: https://cve.futuretools.ru/cve/CVE-2026-103939
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_103939,
title = {{CVE-2026-103939: OpenEMR: Weno `file_download.php`: missing ACL/CSRF truncates the e-prescribing pharmacy directory}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-103939}},
note = {Оперативный инженерный анализ киберугроз}
}