CVSS: 4.8EPSS: 0%CPEs: 1EXPL: 0CVE-2021-32103
https://notcve.org/view.php?id=CVE-2021-32103
07 May 2021 — A Stored XSS vulnerability in interface/usergroup/usergroup_admin.php in OpenEMR before 5.0.2.1 allows a admin authenticated user to inject arbitrary web script or HTML via the lname parameter. Una vulnerabilidad de tipo XSS almacenado en el archivo interface/usergroup/usergroup_admin.php en OpenEMR versiones anteriores a 5.0.2.1, permite a un usuario autenticado por un administrador inyectar un script web o HTML arbitrario por medio del parámetro lname • https://blog.sonarsource.com/openemr-5-0-2-1-command-injection-vulnerability • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2021-25922
https://notcve.org/view.php?id=CVE-2021-25922
22 Mar 2021 — In OpenEMR, versions 4.2.0 to 6.0.0 are vulnerable to Reflected Cross-Site-Scripting (XSS) due to user input not being validated properly. An attacker could trick a user to click on a malicious url and execute malicious code. En OpenEMR, las versiones 4.2.0 a 6.0.0 son vulnerables a un ataque de tipo Cross-Site-Scripting (XSS) Reflejado debido a que la entrada del usuario no es validada apropiadamente. Un atacante podría engañar a un usuario para que haga clic en una URL maliciosa y ejecute un código m... • https://github.com/openemr/openemr/commit/0fadc3e592d84bc9dfe9e0403f8bd6e3c7d8427f • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2021-25920
https://notcve.org/view.php?id=CVE-2021-25920
22 Mar 2021 — In OpenEMR, versions v2.7.2-rc1 to 6.0.0 are vulnerable to Improper Access Control when creating a new user, which leads to a malicious user able to read and send sensitive messages on behalf of the victim user. En OpenEMR, las versiones v2.7.2-rc1 a 6.0.0, son vulnerables a un Control de Acceso Inapropiado al crear un nuevo usuario, lo que conlleva a que un usuario malicioso sea capaz de leer y enviar mensajes confidenciales en nombre del usuario víctima • https://github.com/openemr/openemr/commit/0fadc3e592d84bc9dfe9e0403f8bd6e3c7d8427f • CWE-178: Improper Handling of Case Sensitivity •
CVSS: 5.4EPSS: 1%CPEs: 1EXPL: 0CVE-2021-25921
https://notcve.org/view.php?id=CVE-2021-25921
22 Mar 2021 — In OpenEMR, versions 2.7.3-rc1 to 6.0.0 are vulnerable to Stored Cross-Site-Scripting (XSS) due to user input not being validated properly in the `Allergies` section. An attacker could lure an admin to enter a malicious payload and by that initiate the exploit. En OpenEMR, las versiones 2.7.3-rc1 a 6.0.0, son vulnerables a un ataque de tipo Cross-Site-Scripting (XSS) Almacenado debido a que la entrada del usuario no es validada apropiadamente en la sección "Allergies". Un atacante podría convencer a un... • https://github.com/openemr/openemr/commit/0fadc3e592d84bc9dfe9e0403f8bd6e3c7d8427f • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29143
https://notcve.org/view.php?id=CVE-2020-29143
15 Feb 2021 — A SQL injection vulnerability in interface/reports/non_reported.php in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the form_code parameter. Una vulnerabilidad de inyección SQL en el archivo interface/reports/non_reported.php en OpenEMR versiones anteriores a 5.0.2.5, permite a un atacante autenticado remoto ejecutar comandos SQL arbitrarios por medio del parámetro form_code • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29139
https://notcve.org/view.php?id=CVE-2020-29139
15 Feb 2021 — A SQL injection vulnerability in interface/main/finder/patient_select.php from library/patient.inc in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the searchFields parameter. Una vulnerabilidad de inyección SQL en el archivo interface/main/finder/ patient_select.php de library/patient.inc en OpenEMR versiones anteriores a 5.0.2.5 permite que un atacante autenticado remotamente ejecute comandos SQL arbitrarios por medio del parámetro searchFields • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29140
https://notcve.org/view.php?id=CVE-2020-29140
15 Feb 2021 — A SQL injection vulnerability in interface/reports/immunization_report.php in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the form_code parameter. Una vulnerabilidad de inyección SQL en el archivo interface/reports/immunization_report.php en OpenEMR versiones anteriores a 5.0.2.5, permite a un atacante autenticado remoto ejecutar comandos SQL arbitrarios por medio del parámetro form_code • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 2CVE-2020-29142
https://notcve.org/view.php?id=CVE-2020-29142
15 Feb 2021 — A SQL injection vulnerability in interface/usergroup/usergroup_admin.php in OpenEMR before 5.0.2.5 allows a remote authenticated attacker to execute arbitrary SQL commands via the schedule_facility parameter when restrict_user_facility=on is in global settings. Una vulnerabilidad de inyección SQL en el archivo interface/usergroup/usergroup_admin.php en OpenEMR versiones anteriores a 5.0.2.5, permite a un atacante autenticado remoto ejecutar comandos SQL arbitrarios por medio del parámetro schedule_facility ... • https://community.open-emr.org/t/openemr-6-0-0-has-been-released/15732 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2019-16404
https://notcve.org/view.php?id=CVE-2019-16404
21 Oct 2019 — Authenticated SQL Injection in interface/forms/eye_mag/js/eye_base.php in OpenEMR through 5.0.2 allows a user to extract arbitrary data from the openemr database via a non-parameterized INSERT INTO statement, as demonstrated by the providerID parameter. Una Inyección SQL autenticada en el archivo interface/forms/eye_mag/js/eye_base.php en OpenEMR versiones hasta 5.0.2, permite al usuario extraer datos arbitrarios de la base de datos de openemr por medio de una instrucción INSERT INTO no parametrizada, como ... • https://github.com/lodestone-security/CVEs/blob/master/CVE-2019-16404/README.md • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2019-16862
https://notcve.org/view.php?id=CVE-2019-16862
21 Oct 2019 — Reflected XSS in interface/forms/eye_mag/view.php in OpenEMR 5.x before 5.0.2.1 allows a remote attacker to execute arbitrary code in the context of a user's session via the pid parameter. Una vulnerabilidad de tipo XSS reflejado en el archivo interface/forms/eye_mag/view.php en OpenEMR versiones 5.x anteriores a 5.0.2.1, permite a un atacante remoto ejecutar código arbitrario en el contexto de la sesión de un usuario por medio del parámetro pid. • https://github.com/lodestone-security/CVEs/blob/master/CVE-2019-16862/README.md • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •