Vulnerabilidad en OpenEMR (CVE-2026-24487)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

25/02/2026

Última modificación:

27/02/2026

Descripción

OpenEMR es una aplicación de gestión de registros de salud electrónicos y práctica médica de código abierto y gratuita. Antes de la versión 8.0.0, una vulnerabilidad de omisión de autorización en el endpoint del recurso FHIR CareTeam permite que los tokens FHIR con alcance de paciente accedan a datos del equipo de atención para todos los pacientes en lugar de estar restringidos únicamente a los datos del paciente autenticado. Esto podría llevar potencialmente a la divulgación no autorizada de Información de Salud Protegida (PHI), incluyendo relaciones paciente-proveedor y estructuras de equipo de atención en todo el sistema. El problema ocurre porque el &#39;FhirCareTeamService&#39; no implementa la interfaz &#39;IPatientCompartmentResourceService&#39; y no pasa el parámetro de enlace de paciente al servicio subyacente, omitiendo el mecanismo de filtrado del compartimento de paciente. La versión 8.0.0 contiene un parche para este problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P CVSS v4.0 Severidad y Métricas:

Puntuación base: 5.70 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno
Exploit Maturity (E): POC

Puntuación base 4.0

5.70

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno