CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-25920
https://notcve.org/view.php?id=CVE-2021-25920
22 Mar 2021 — In OpenEMR, versions v2.7.2-rc1 to 6.0.0 are vulnerable to Improper Access Control when creating a new user, which leads to a malicious user able to read and send sensitive messages on behalf of the victim user. En OpenEMR, las versiones v2.7.2-rc1 a 6.0.0, son vulnerables a un Control de Acceso Inapropiado al crear un nuevo usuario, lo que conlleva a que un usuario malicioso sea capaz de leer y enviar mensajes confidenciales en nombre del usuario víctima • https://github.com/openemr/openemr/commit/0fadc3e592d84bc9dfe9e0403f8bd6e3c7d8427f • CWE-178: Improper Handling of Case Sensitivity •
CVSS: 5.4EPSS: 1%CPEs: 1EXPL: 0CVE-2021-25921
https://notcve.org/view.php?id=CVE-2021-25921
22 Mar 2021 — In OpenEMR, versions 2.7.3-rc1 to 6.0.0 are vulnerable to Stored Cross-Site-Scripting (XSS) due to user input not being validated properly in the `Allergies` section. An attacker could lure an admin to enter a malicious payload and by that initiate the exploit. En OpenEMR, las versiones 2.7.3-rc1 a 6.0.0, son vulnerables a un ataque de tipo Cross-Site-Scripting (XSS) Almacenado debido a que la entrada del usuario no es validada apropiadamente en la sección "Allergies". Un atacante podría convencer a un... • https://github.com/openemr/openemr/commit/0fadc3e592d84bc9dfe9e0403f8bd6e3c7d8427f • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29143
https://notcve.org/view.php?id=CVE-2020-29143
15 Feb 2021 — A SQL injection vulnerability in interface/reports/non_reported.php in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the form_code parameter. Una vulnerabilidad de inyección SQL en el archivo interface/reports/non_reported.php en OpenEMR versiones anteriores a 5.0.2.5, permite a un atacante autenticado remoto ejecutar comandos SQL arbitrarios por medio del parámetro form_code • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29139
https://notcve.org/view.php?id=CVE-2020-29139
15 Feb 2021 — A SQL injection vulnerability in interface/main/finder/patient_select.php from library/patient.inc in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the searchFields parameter. Una vulnerabilidad de inyección SQL en el archivo interface/main/finder/ patient_select.php de library/patient.inc en OpenEMR versiones anteriores a 5.0.2.5 permite que un atacante autenticado remotamente ejecute comandos SQL arbitrarios por medio del parámetro searchFields • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29140
https://notcve.org/view.php?id=CVE-2020-29140
15 Feb 2021 — A SQL injection vulnerability in interface/reports/immunization_report.php in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the form_code parameter. Una vulnerabilidad de inyección SQL en el archivo interface/reports/immunization_report.php en OpenEMR versiones anteriores a 5.0.2.5, permite a un atacante autenticado remoto ejecutar comandos SQL arbitrarios por medio del parámetro form_code • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29142
https://notcve.org/view.php?id=CVE-2020-29142
15 Feb 2021 — A SQL injection vulnerability in interface/usergroup/usergroup_admin.php in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the schedule_facility parameter when restrict_user_facility=on is in global settings. Una vulnerabilidad de inyección SQL en el archivo interface/usergroup/usergroup_admin.php en OpenEMR versiones anteriores a 5.0.2.5, permite a un atacante autenticado remoto ejecutar comandos SQL arbitrarios por medio del parámetro schedule_facility ... • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2019-17197
https://notcve.org/view.php?id=CVE-2019-17197
05 Oct 2019 — OpenEMR through 5.0.2 has SQL Injection in the Lifestyle demographic filter criteria in library/clinical_rules.php that affects library/patient.inc. OpenEMR versiones hasta 5.0.2, presenta una inyección SQL en los criterios de filtro demográfico Lifestyle en la biblioteca library/clinic_rules.php que afecta a la biblioteca library/patient.inc. • https://github.com/openemr/openemr/pull/2692 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-17179
https://notcve.org/view.php?id=CVE-2019-17179
04 Oct 2019 — 4.1.0, 4.1.1, 4.1.2, 4.1.2.3, 4.1.2.6, 4.1.2.7, 4.2.0, 4.2.1, 4.2.2, 5.0.0, 5.0.0.5, 5.0.0.6, 5.0.1, 5.0.1.1, 5.0.1.2, 5.0.1.3, 5.0.1.4, 5.0.1.5, 5.0.1.6, 5.0.1.7, 5.0.2, fixed in version 5.0.2.1 Una vulnerabilidad de tipo XSS en el archivo library/custom_template/add_template.php en OpenEMR versiones hasta 5.0.2, permite a un usuario malicioso ejecutar código en el contexto del navegador de una víctima por medio de un parámetro de consulta list_id diseñado. • https://github.com/lodestone-security/CVEs/blob/master/CVE-2019-17179/README.md • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.0EPSS: 79%CPEs: 1EXPL: 1CVE-2019-3968
https://notcve.org/view.php?id=CVE-2019-3968
20 Aug 2019 — In OpenEMR 5.0.1 and earlier, an authenticated attacker can execute arbitrary commands on the host system via the Scanned Forms interface when creating a new form. En OpenEMR 5.0.1 y versiones anteriores, un atacante autenticado puede ejecutar comandos arbitrarios en el sistema host a través de la interfaz de formularios escaneados al crear un nuevo formulario. • https://www.tenable.com/security/research/tra-2019-40 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') •
CVSS: 6.5EPSS: 8%CPEs: 1EXPL: 1CVE-2019-3967
https://notcve.org/view.php?id=CVE-2019-3967
20 Aug 2019 — In OpenEMR 5.0.1 and earlier, the patient file download interface contains a directory traversal flaw that allows authenticated attackers to download arbitrary files from the host system. En OpenEMR 5.0.1 y versiones anteriores, la interfaz de descarga de archivos del paciente contiene un defecto de recorrido de directorio que permite a los atacantes autenticados descargar archivos arbitrarios desde el sistema host. • https://www.tenable.com/security/research/tra-2019-40 • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') •