OpenEMR 'interface/main/main_screen.php' SQL注入漏洞（CNVD-2013-13160）

CVE编号

N/A

利用情况

暂无

补丁情况

N/A

披露时间

2013-09-22

漏洞描述

OpenEMR是一款医疗管理系统,可用于医疗实践管理，电子病历，处方书写和医疗帐单申请。OpenEMR "interface/main/main_screen.php"脚本不正确过滤用户提交给"authProvider" POST参数的数据，允许通过验证的攻击者提交特助的SQL查询，可获取或查看数据库信息。此外"interface/new/new_comprehensive_save.php"脚本不正确过滤"form_pubid"参数，可导致SQL注入攻击。

解决建议

用户可联系供应商获得补丁信息：http://www.open-emr.org/

参考链接
https://www.cnvd.org.cn/flaw/show/CNVD-2013-13160

CVSS3评分 9.0

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 N/A
• 用户交互 N/A
• 可用性 部分地
• 保密性 完全地
• 完整性 部分地

AV:N/AC:L/Au:N/C:C/I:P/A:P CWE-ID 漏洞类型