CVE-2020-28937
Publiée le 2020-12-03 · Dernière modification le 2026-06-17
La version 0.8.2 d'OpenClinic ne requiert pas d'authentification pour accéder à sa page de résultats d'examens, permettant ainsi à toute personne disposant d'un accès réseau de consulter les dossiers médicaux de n'importe quel patient. Un attaquant a seulement besoin d'envoyer une requête directe vers l'URI `/tests/` pour dérober des informations de santé protégées. Comme aucune connexion ni interaction de l'utilisateur n'est requise, l'exploitation de cette faille est simple pour quiconque peut atteindre le serveur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenClinic version 0.8.2 is affected by a missing authentication vulnerability that allows unauthenticated users to access any patient's medical test results, possibly resulting in disclosure of Protected Health Information (PHI) stored in the application, via a direct request for the /tests/ URI.