CVE-2014-5462

概要

OpenEMR 4.1.2 (パッチ7) 以前の複数のSQLインジェクションの脆弱性により、リモートの認証済みユーザーが任意のSQLコマンドを実行できる可能性があります。影響を受けるパラメータは以下のとおりです: (1) interface/super/edit_layout.php への layout_id パラメータ; (2) form_patient_id、(3) form_drug_name、または (4) form_lot_number パラメータ (interface/reports/prescriptions_report.php への); (5) interface/billing/edit_payment.php への payment_id パラメータ; (6) interface/forms_admin/forms_admin.php への id パラメータ; (7) form_pid または (8) form_encounter パラメータ (interface/billing/sl_eob_search.php への); (9) interface/logview/logview.php への sortby パラメータ; interface/orders/ 内の (10) procedure_stats.php、(11) pending_followup.php、または (12) pending_orders.php への form_facility パラメータ; (13) patient、(14) encounterid、(15) formid、または (16) issue パラメータ (interface/patient_file/deleter.php への); (17) interface/patient_file/encounter/coding_popup.php への search_term パラメータ; (18) interface/patient_file/encounter/search_code.php への text パラメータ; (19) form_addr1、(20) form_addr2、(21) form_attn、(22) form_country、(23) form_freeb_type、(24) form_partner、(25) form_name、(26) form_zip、(27) form_state、(28) form_city、または (29) form_cms_id パラメータ (interface/practice/ins_search.php への); (30) interface/patient_file/problem_encounter.php への form_pid パラメータ; (31) patient、(32) form_provider、(33) form_apptstatus、または (34) form_facility パラメータ (interface/reports/appointments_report.php への); (35) interface/patient_file/summary/demographics_save.php への db_id パラメータ; (36) interface/fax/fax_dispatch_newpid.php への p パラメータ; (37) interface/patient_file/reminder/patient_reminders.php への patient_id パラメータ。

• OpenEMR 4.1.2(7) - Multiple SQL Injectionsエクスプロイト