Vulnerabilidad en interface/globals.php en los parámetros srcdir y rootdir en OpenEMR (CVE-2007-0649)

Gravedad CVSS v2.0:

MEDIA

Tipo:

CWE-94 Control incorrecto de generación de código (Inyección de código)

Fecha de publicación:

01/02/2007

Última modificación:

09/04/2025

Descripción

Una vulnerabilidad de sobrescritura de variables en el archivo interface/globals.php en OpenEMR versión 2.8.2 y anteriores, permite a los atacantes remotos sobrescribir variables de programa arbitrarias y conducir otras actividades no autorizadas, como dirigir ataques de (a) inclusión de archivos remotos por medio del parámetro srcdir en custom/import_xml.php o (b) ataques de tipo Cross-Site Scripting (XSS) por medio del parámetro rootdir en interface/login/login_frame.php, por medio de vectores asociados con operaciones de extracción en POST y en matrices superglobales. NOTA: este problema se cuestionó originalmente anterior a que se identificara el comportamiento del extracto en el análisis posterior a la divulgación. Adicionalmente, el informe original se identificó como "Open Conference Systems," pero esto fue un error.

Impacto

Vector 2.0

AV:N/AC:H/Au:M/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:H/Au:M/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Autenticación (Au): Múltiple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico