关键信息汇总 漏洞名称: Printable LBF Endpoint Leaks Arbitrary Patient Forms CVE ID: CVE-2026-25930 CVSS v3 分数: 6.5（ Moderate） 受影响版本: < 8.0.0 修复版本: 目前无 漏洞描述 漏洞文件: 漏洞类型: Insecure Direct Object References (IDOR) / Authorization Bypass (CWE-639) 攻击向量: Network 攻击复杂度: Low 漏洞详情 问题: 可打印的Layout-Based Form（LBF）视图接受 和 （或 ）作为请求参数，但不验证该表单是否属于当前用户的授权患者/就诊记录。任何具有LBF访问权限的经过身份验证的用户可以通过枚举表单ID或查看和打印任何患者的就诊表单。 根本原因: 由于不检查表单ID和就诊ID（以及任何患者ID）是否绑定了会话或ACL验证的患者/就诊记录，从而导致未经授权的访问。 样例: - 登录为具有至少一个患者的LBF表单访问权限的用户（例如，医生）。 - 确定或猜测另一个患者（例如，来自另一份报告、顺序ID或同一会话中的其他患者）的 和 。 影响 风险: 任何LBF表单可以通过枚举或猜测表单/就诊ID进行查看或打印；其他患者的PHI将被暴露。 影响范围: 使用LBF的所有部署；任何具有LBF访问权限的经过身份验证的用户。 目前状态 需要等待官方修复（8.0.0 及以上版本）。