Plateforme
php
Composant
openemr
Corrigé dans
8.0.1
Une vulnérabilité d'injection SQL a été découverte dans OpenEMR, une application de gestion de dossiers médicaux et de pratique médicale en libre-service. Cette faille, présente dans les versions antérieures à la 8.0.0, permet à des utilisateurs authentifiés disposant d'un accès API d'exécuter des requêtes SQL arbitraires via le paramètre _sort de l'endpoint API REST Patient. La vulnérabilité est corrigée dans la version 8.0.0.
L'exploitation réussie de cette vulnérabilité permet à un attaquant d'injecter du code SQL malveillant dans les requêtes exécutées par OpenEMR. Cela peut conduire à un accès non autorisé à la base de données contenant des informations sensibles, telles que les dossiers médicaux des patients (PHI - Protected Health Information), les identifiants d'utilisateurs et d'autres données confidentielles. Un attaquant pourrait potentiellement modifier, supprimer ou exfiltrer ces données, compromettant ainsi la confidentialité, l'intégrité et la disponibilité du système. Le risque est exacerbé par le fait que l'API REST est souvent exposée sur Internet, augmentant la surface d'attaque. Cette vulnérabilité présente des similitudes avec d'autres failles d'injection SQL où l'absence de validation appropriée des entrées utilisateur permet l'exécution de code malveillant.
Cette vulnérabilité a été rendue publique le 25 février 2026. Bien que le score CVSS soit critique (10), il n'y a pas d'indications d'exploitation active à ce jour. Il est possible que cette vulnérabilité soit ajoutée au catalogue KEV de CISA à l'avenir, en fonction de l'évaluation de la probabilité d'exploitation. Des preuves de concept (PoC) publiques sont susceptibles d'émerger, augmentant le risque d'exploitation.
Healthcare providers and organizations utilizing OpenEMR, particularly those relying on the Patient REST API for data access and integration, are at significant risk. Shared hosting environments where multiple OpenEMR instances reside on the same server are also vulnerable, as a compromise of one instance could potentially impact others.
• linux / server:
journalctl -u openemr | grep -i "SQL injection"• generic web:
curl -I 'https://<openemr_host>/api/patient?_sort='; # Check for unusual response headers or errors• database (mysql):
mysql -u <openemr_user> -p -e "SHOW TABLES LIKE 'patient%';"disclosure
patch
Statut de l'Exploit
EPSS
0.00% (percentile 0%)
CISA SSVC
Vecteur CVSS
La mesure la plus efficace pour atténuer cette vulnérabilité est de mettre à jour OpenEMR vers la version 8.0.0 ou ultérieure, qui corrige la faille d'injection SQL. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est recommandé de limiter l'accès à l'API REST Patient aux seuls utilisateurs autorisés et de mettre en œuvre une authentification forte. Des règles de pare-feu d'application web (WAF) peuvent être configurées pour bloquer les requêtes contenant des caractères suspects dans le paramètre _sort. Surveiller attentivement les journaux d'accès et d'erreurs d'OpenEMR pour détecter toute activité suspecte. Après la mise à jour, vérifiez l'intégrité de la base de données et assurez-vous que les données sensibles sont correctement protégées.
Mettez à jour OpenEMR vers la version 8.0.0 ou supérieure. Cette version corrige la vulnérabilité d'injection SQL dans l'API Patient. La mise à jour empêchera l'exécution de requêtes SQL arbitraires et la possible exposition d'informations sensibles.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-24908 is a critical SQL injection vulnerability in OpenEMR versions prior to 8.0.0, allowing attackers to execute SQL queries through the Patient REST API.
You are affected if you are running OpenEMR versions 8.0.0 or earlier and have not yet upgraded.
Upgrade OpenEMR to version 8.0.0 or later to remediate the vulnerability. Consider temporary workarounds if immediate upgrading is not possible.
While no public exploitation is confirmed, the vulnerability's severity and ease of exploitation suggest a potential for active exploitation.
Refer to the official OpenEMR security advisory for detailed information and updates: [https://openemr.org/security/](https://openemr.org/security/)
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.