JVNDB-2026-007347

OpenEMRにおける認証の欠如に関する脆弱性

OpenEMRは無料でオープンソースの電子健康記録および医療業務管理アプリケーションです。バージョン8.0.0.1以前では、ControllerRouter::route()の逆転したブール条件により、admin/super ACLチェックが内部認証（review、log）を持つコントローラーにのみ適用され、それ以外のCDRコントローラー（alerts、ajax、edit、add、detail、browse）には認証されたユーザーであれば誰でもアクセスできました。これにより、ログインユーザーはシステム全体の臨床意思決定サポートアラートの抑制や臨床計画の削除・変更、ルール設定の編集を行うことが可能となり、これらはいずれも本来なら管理者権限を必要とする操作です。この脆弱性はバージョン8.0.0.1で修正されています。

OpenEMR

• OpenEMR 8.0.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : 008: Inverted ACL Condition in CDR ControllerRouter Allows Any Authenticated User to Modify/Delete Clinical Rules and Plans  Advisory  openemr/openemr  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-32126

1. National Vulnerability Database (NVD) : CVE-2026-32126

• [2026年03月16日]
    掲載