Описание
Уязвимость модуля Reporting Compatibility Add On программного средства для работы с медицинскими записями OpenMRS Reference Application связана с отсутствием процедуры аутентификации при десериализации XML-файлов в объекты ReportSchema. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить команды операционной системы с помощью отправки методом POST запроса со специально сформированным XML-файлом к странице /admin/reports/reportSchemaXml.form
Вендор
Наименование ПО
Версия ПО
Тип ПО
Операционные системы и аппаратные платформы
Уровень опасности уязвимости
Возможные меры по устранению уязвимости
Статус уязвимости
Наличие эксплойта
Информация об устранении
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
9.8 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
The Reporting Compatibility Add On before 2.0.4 for OpenMRS, as distributed in OpenMRS Reference Application before 2.6.1, does not authenticate users when deserializing XML input into ReportSchema objects. The result is that remote unauthenticated users are able to execute operating system commands by crafting malicious XML payloads, as demonstrated by a single admin/reports/reportSchemaXml.form request.
The Reporting Compatibility Add On before 2.0.4 for OpenMRS, as distributed in OpenMRS Reference Application before 2.6.1, does not authenticate users when deserializing XML input into ReportSchema objects. The result is that remote unauthenticated users are able to execute operating system commands by crafting malicious XML payloads, as demonstrated by a single admin/reports/reportSchemaXml.form request.
EPSS
9.8 Critical
CVSS3
10 Critical
CVSS2