つみかさね
Top/Security/CVE一覧/CVE-2026-24898

CVE-2026-24898

Critical(10)

CVE-2026-24898 — OpenEMR MedExコールバックの未認証トークン漏洩

公開日: 2026-03-06データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
OpenEMRopenemr8.0.0 未満
CVEOpenEMR認証バイパス医療情報

概要

OpenEMR の MedEx コールバックエンドポイントに、未認証でAPIトークンが取得できる脆弱性が存在します。このエンドポイントは $ignoreAuth = true の設定により認証をバイパスしており、$_POST['callback_key'] が指定されると MedEx ログインを実行し、APIトークンを含むJSONレスポンスをそのまま返してしまいます。

取得されたトークンにより、MedExプラットフォーム上での不正操作や保護対象医療情報（PHI）の流出が可能となり、HIPAA違反に直結します。

CVSSベクトル

項目値
CVSSスコア10.0
深刻度Critical
CWECWE-287 (認証不備)

影響を受けるソフトウェア

製品ベンダー影響バージョン
OpenEMRopenemr8.0.0 未満

修正バージョンと回避策

  • 修正バージョン: OpenEMR 8.0.0
  • 暫定回避策: MedEx連携機能を一時的に無効化し、該当エンドポイントへのアクセスを制限

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-24848OpenEMR EtherFax任意ファイル書き込みCVSS 9.9CVE-2026-25146OpenEMR 決済APIキー平文漏洩CVSS 9.6

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-24898
GHSA:https://github.com/openemr/openemr/security/advisories/GHSA-qwff-3mw7-7rc7
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。