CVE-2026-104137— OpenEMR 患者数据搜索权限不足漏洞
一分钟漏洞结论
影响对象
openemr openemr
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
OpenEMR 是一款免费且开源的电子健康记录及医疗诊所管理应用程序。在 8.3.0 版本之前， 文件中的 分支虽然要求用户具备已认证的会话，但并未实施针对患者或功能级别的访问控制列表（ACL）。因此，无法通过正常界面访问患者数据的低权限用户，仍可搜索 MedEx 短信端点，并获取患者标识符、姓名、电话号码、短信权限状态以及最近的短信信息。该问题已在 8.3.0 版本中修复。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-104137 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
OpenEMR: Patient Data Search Without Sufficient ACL
来源: CVE Program / CVE List V5
Vulnerability Description
OpenEMR is a free and open source electronic health records and medical practice management application. Prior to 8.3.0, the sms_search branch of interface/main/messages/save.php requires an authenticated session but does not enforce patient or feature-level ACLs. A low-privilege user who cannot access patient data through the normal interface can search the MedEx SMS endpoint and receive patient identifiers, names, phone numbers, SMS permission status, and recent message information. This issue is fixed in version 8.3.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
访问控制不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-104137 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-104137 的情报信息
请登录查看更多情报信息。
CVE-2026-104137 补丁与修复 (1)
CVE-2026-104137 厂商页面 (1)
CVE-2026-104137 其他参考 (2)
-
https://github.com/openemr/openemr/pull/13200 x_refsource_MISC
-
https://github.com/openemr/openemr/security/advisories/GHSA-h5hw-xfj8-vgrv x_refsource_CONFIRM
同批安全公告 · openemr · 2026-11-05 · 共 16 条
| CVE-2026-102940 | 9.6 CRITICAL | OpenEMR 文档重新分配权限缺失漏洞 |
| CVE-2026-103935 | 8.1 HIGH | OpenEMR 因 text() 误用导致的存储型 XSS 漏洞 |
| CVE-2026-115573 | 8.1 HIGH | OpenEMR controller.php 访问控制绕过及凭证劫持漏洞 |
| CVE-2026-65983 | 7.5 HIGH | OpenEMR FaxSMS 模块：解密患者文档不安全暂存漏洞 |
| CVE-2026-103938 | 7.1 HIGH | OpenEMR IPPF 操作跨站请求伪造防护绕过漏洞 |
| CVE-2026-104136 | 7.1 HIGH | OpenEMR 任意患者召回及联系方式读取漏洞 |
| CVE-2026-104133 | 7.1 HIGH | OpenEMR 未授权远程代码执行漏洞 |
| CVE-2026-104138 | 6.5 MEDIUM | OpenEMR QRDA 下载接口未授权访问漏洞 |
| CVE-2026-104135 | 6.5 MEDIUM | OpenEMR 支付患者搜索未授权导致患者信息泄露漏洞 |
| CVE-2026-104139 | 6.5 MEDIUM | OpenEMR 文档模板下载越权读取患者隐私漏洞 |
| CVE-2026-104134 | 6.5 MEDIUM | OpenEMR 人员搜索模块未授权访问致患者信息泄露漏洞。 |
| CVE-2026-103939 | 5.4 MEDIUM | OpenEMR file_download.php 缺失 ACL/CSRF 截断漏洞 |
| CVE-2026-103021 | 5.3 MEDIUM | OpenEMR 预认证加载用户设置导致用户名枚举漏洞 |
| CVE-2026-103020 | 5.3 MEDIUM | OpenEMR admin.php 未授权信息泄露漏洞 |
| CVE-2026-103019 | 4.3 MEDIUM | OpenEMR OIDC 未认证开放重定向漏洞 |