CVE-2026-41258: OpenMRS Core: SSTI Velocity armazenada via ConceptReferenceRange
O OpenMRS Core avalia strings de critérios armazenadas em faixas de referência de conceitos como templates Apache Velocity, sem sandbox, o que o registro classifica como injeção de código (CWE-94). Um usuário com o privilégio Manage Concepts pode armazenar conteúdo de template malicioso que é executado automaticamente durante a validação de observações. A correção está disponível nas versões 2.7.9 e 2.8.6, e o registro não indica inclusão no KEV nem exploração confirmada.
Visão geral
A CVE-2026-41258 afeta o OpenMRS Core, a plataforma central do sistema de prontuário eletrônico de código aberto. O registro a classifica como CWE-94 (injeção de código): strings de critérios armazenadas no banco para faixas de referência de conceitos são avaliadas como templates Apache Velocity, sem sandbox.
Impacto
- Segundo o registro, um usuário com o privilégio Manage Concepts pode armazenar conteúdo de template malicioso que é executado automaticamente quando uma observação é validada contra o conceito afetado.
- A CNA do GitHub atribui pontuação 9.1 pelo CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade e mudança de escopo.
- O registro informa que o contexto do template expõe objetos de paciente, observação e da camada de serviços.
Produtos e versões afetados
- OpenMRS Core (openmrs-core) de 2.7.0 até antes de 2.7.9.
- OpenMRS Core de 2.8.0 até antes de 2.8.6.
- A descrição indica correção nas versões 2.7.9 e 2.8.6. O campo estruturado de correções do registro está vazio, então vale consultar o aviso oficial para detalhes.
Status de exploração
Segundo o registro, esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. Os campos SSVC do registro indicam exploração como none e automatizável como no.
Correção e mitigação
- Atualize o OpenMRS Core para 2.7.9 ou 2.8.6, conforme a linha de release em uso.
- Até a atualização, restrinja o privilégio Manage Concepts a administradores de confiança e revise quem o possui.
- Audite os critérios das faixas de referência de conceitos em busca de sintaxe de template inesperada e trate valores desconhecidos como suspeitos.
Orientações de detecção
- Revise alterações recentes nas definições de faixas de referência e identifique as contas que as fizeram.
- Monitore os logs da aplicação em busca de erros de avaliação de template ou atividade incomum durante a validação de observações.
- Compare os critérios armazenados com backups de configuração conhecidos como válidos.
Limitações das informações disponíveis
O registro não contém pontuação do NVD, então o valor 9.1 vem da CNA do GitHub. O status da fonte no NVD está como Deferred. Detalhes técnicos além da descrição estão no aviso do GitHub, que não foi revisado integralmente nesta análise. A probabilidade EPSS é 0.0054, com percentil de 0.43877.
Perguntas frequentes
Quais versões do OpenMRS Core são afetadas pela CVE-2026-41258?
O registro lista o OpenMRS Core de 2.7.0 até antes de 2.7.9 e de 2.8.0 até antes de 2.8.6 como afetados.
Quais versões corrigem o problema?
A descrição indica correção nas versões 2.7.9 e 2.8.6. O campo estruturado de correções do registro está vazio.
Esta CVE é explorada na natureza?
Não. O registro não a lista no KEV da CISA e não há exploração confirmada nas fontes consultadas.
Quem pode acionar o comportamento vulnerável?
Segundo o registro, um usuário com o privilégio Manage Concepts pode armazenar o conteúdo malicioso, que é executado na validação de observações do conceito afetado.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.