Vulnerabilidad en OpenEMR (CVE-2026-46518)

OpenEMR es una aplicación de gestión de registros médicos electrónicos y práctica médica de código abierto y gratuita. Antes de la versión 8.0.0.1, una vulnerabilidad de cross-site scripting almacenado en la función de impresión múltiple CSS/HTML de prescripciones permite a un usuario del portal de pacientes ejecutar JavaScript arbitrario en la sesión del navegador de un médico. Los campos demográficos del paciente (nombre, dirección) se renderizan sin codificación de salida en multiprintcss_header(), y los pacientes del portal pueden escribir HTML controlado por el atacante directamente en patient_data llamando al endpoint PUT api/patient/:num, lo que omite el flujo de trabajo de revisión de auditoría previsto. Debido a que el XSS se activa en la sesión autenticada del médico en la interfaz principal de OpenEMR, el atacante puede acceder a tokens CSRF, datos de sesión y realizar acciones como el médico - cruzando el límite de confianza entre paciente y médico. Este problema ha sido parcheado en la versión 8.0.0.1.