JVNDB-2026-019492

OpenEMRにおける複数の脆弱性

OpenEMRは無料でオープンソースの電子健康記録および医療実務管理アプリケーションです。バージョン8.0.0.1以前には、処方のCSS/HTMLマルチプリント機能に格納型クロスサイトスクリプティングの脆弱性が存在しており、患者ポータルのユーザーが臨床医のブラウザセッションで任意のJavaScriptを実行できる可能性がありました。患者の人口統計フィールド（名前、住所）はmultiprintcss_header()で出力エンコードされずにレンダリングされており、ポータルの患者はPUT api/patient/:numエンドポイントを呼び出すことで、攻撃者が制御するHTMLを患者データに直接書き込み、意図された監査レビューのワークフローをバイパスできます。このXSSは臨床医の認証済みセッションでメインのOpenEMRインターフェース上で発生するため、攻撃者はCSRFトークンやセッションデータにアクセスし、臨床医として操作を実行でき、患者から臨床医への信頼境界を越えます。この問題はバージョン8.0.0.1で修正されています。

OpenEMR

• OpenEMR 8.0.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : vuln06: Stored XSS in prescription CSS/HTML print view via patient demographics  Advisory  openemr/openemr  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]
2. 認証の欠如(CWE-862) [その他]

1. CVE-2026-46518

1. National Vulnerability Database (NVD) : CVE-2026-46518

• [2026年06月12日]
    掲載