CVE-2026-40075: OpenMRS Core é uma plataforma de registro médico eletrônico de código aberto

OpenMRS Core é uma plataforma de registro médico eletrônico de código aberto. Em versões 2.7.8 e versões anteriores e anteriores 2.8.0 através 2.8.5, o objetivo `/openmrs/moduleResources/{moduleid}` é vulnerável a um ataque transversal de caminho. O móduloResourcesServlet constrói um caminho do sistema de arquivos a partir de entrada controlada pelo usuário sem realizar validação dos limites do caminho — o método getFile() concatena o caminho fornecido pelo usuário em um caminho do sistema de arquivos absoluto sem chamar normalize() ou verificar que o resultado permanece dentro do diretório de recursos do módulo permitido. Como este endpoint serve recursos estáticos necessários para renderizar a página de login, não está protegido por filtros de autenticação, permitindo exploração não autenticada. Um atacante pode atravessar diretórios e ler arquivos arbitrários do sistema de arquivos do servidor, incluindo arquivos de configuração do /etc/passwd e aplicativos que contêm credenciais de banco de dados. A exploração bem sucedida requer a implantação do alvo para executar nas versões do Apache Tomcat antes do 8.5.31, onde o parâmetro..; do caminho não é mitigado pelo recipiente. Implementações no Tomcat 8.5.31 ou posterior e Tomcat 9.0.10 ou mais tarde são protegidos no nível do recipiente, embora o defeito de código subjacente permaneça. Este problema foi corrigido em versões após 2.7.8 (dentro do 2.7 branch.x) e na versão 2.8.6 e depois. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 40075 foi publicado em 2026 - 05 - 05 T 22: 16: 00.520 Z e última modificação em 2026 - 07 - 24 T 21: 10: 00.143 Z. O seu estado gravado é analisado.

métricas de vulnerabilidade gravadas: CVSS 4.0, pontuação de base 8.2, gravidade HIGH, vetor CVSS: 4.0 /AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X; CVSS 3.1, pontuação de base 7.5, gravidade HIGH, vetor CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N, pontuação de exploração 3.9, pontuação de impacto 3.6; CVSS. Classificações de fraqueza associadas: CWE- 22.

Os produtos ou plataformas nomeados nos dados de aplicabilidade incluem: openmrs openmrs.

O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.