CVE-2026-49142
Beschrijving NL
OpenEMR voor 8.5.0 bevat een geverifieerde SQL-injectiekwetsbaarheid in de Syndromic Surveillance-module waarmee gebruikers met rechten op clinicusniveau willekeurige database-inhoud kunnen lezen en wijzigen door bewerkte waarden in de form_icd_codes[] POST-parameter in te dienen bij het syndromicsurveillance/index-eindpunt. Aanvallers kunnen een numerieke IN()-clausule zonder aanhalingstekens en een UNION DISTINCT SELECT-instructie met hex-gecodeerde letterlijke waarden injecteren om MySQL extractvalue() te misbruiken voor foutgebaseerde exfiltratie van bcrypt-wachtwoordhashes en het uitvoeren van gestapelde query's die wachtwoorden resetten, wat resulteert in een volledige overname van beheerdersaccounts.
Origineel (Engels) tonen
OpenEMR before 8.5.0 contains an authenticated SQL injection vulnerability in the Syndromic Surveillance module that allows users with Clinician-level privileges to read and modify arbitrary database contents by submitting crafted values in the form_icd_codes[] POST parameter to the syndromicsurveillance/index endpoint. Attackers can inject an unquoted numeric IN() clause and UNION DISTINCT SELECT statement using hex-encoded literals to abuse MySQL extractvalue() for error-based exfiltration of bcrypt password hashes and execute stacked queries that reset passwords, resulting in full administrative account takeover.