OpenMRS Appointment Scheduling Module AppointmentTypeValidator.java validateFieldName cross site scripting

La vulnerabilidad XSS en OpenMRS Appointment Scheduling Module permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que interactúa con la aplicación. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos o la modificación de contenido visible para el usuario. Un atacante podría, por ejemplo, inyectar un script que robe las credenciales de acceso de un médico o paciente, permitiéndole acceder a información sensible o realizar acciones no autorizadas en su nombre. El impacto se amplifica si la aplicación se utiliza en entornos donde se manejan datos de salud confidenciales.

Healthcare organizations and clinics utilizing OpenMRS with the Appointment Scheduling Module versions 1.0 through 1.12.x are at risk. Specifically, deployments that handle sensitive patient data or rely on the appointment scheduling module for critical functionality are particularly vulnerable. Shared hosting environments running OpenMRS are also at increased risk due to potential cross-tenant vulnerabilities.

• linux / server: Monitor OpenMRS application logs for suspicious JavaScript injection attempts. Use grep to search for patterns like <script or onerror=.

grep -i '<script' /var/log/openmrs/application.log

• generic web: Use curl to test the appointment scheduling API endpoints with various payloads and observe the response for signs of script execution.

curl -X POST -d '<script>alert("XSS")</script>' <appointment_scheduling_api_endpoint>

1. 2022-12-27Disclosure

   disclosure

1. Reservado2022-12-27
2. Publicada2022-12-27
3. Modificada2025-04-11
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar el módulo de Programación de Citas de OpenMRS a la versión 1.13.0 o superior. El parche asociado a esta corrección es 34213c3f6ea22df427573076fb62744694f601d8. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento rigurosos de todas las entradas de usuario. Implementar una política de seguridad de contenido (CSP) también puede ayudar a mitigar el riesgo de ataques XSS. Después de la actualización, confirme la corrección revisando los registros de la aplicación en busca de intentos de explotación.