Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-126473 (CWE-863: Autorización Incorrecta) reside en el sistema OAuth de OpenEMR. Debido a fallas en la canonicalización y contención de los alcances (scopes) OAuth, un atacante puede registrar un cliente con un alcance como system:Patient.read para eludir el proceso de aprobación. Luego, al solicitar un alcance no registrado como system/Patient.write, puede obtener acceso de sistema completo a la API FHIR, permitiéndole leer, modificar y crear registros de pacientes sin autenticación.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de OpenEMR anteriores a la 8.4.0.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 9.1 (CRÍTICA). Su impacto es alto, ya que compromete la confidencialidad, integridad y disponibilidad de datos médicos sensibles. Según el EPSS, la probabilidad de explotación real en los próximos 30 días es del 0.5% (percentil 40%). Actualmente, Shodan no reporta hosts expuestos con esta vulnerabilidad detectada, lo que limita el volumen inmediato de objetivos en internet.
Qué hacer
La mitigación principal es actualizar inmediatamente a la versión OpenEMR 8.4.0 o superior, donde esta vulnerabilidad ha sido corregida.
| CVE | CVE-2026-126473 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| EPSS | 0.5% en 30 días (percentil 40) |
| CWE | CWE-863 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).