CVE-2026-33348OpenEMR在8.0.0.3之前的版本中存在存储型跨站脚本（XSS）漏洞。拥有“Notes - my encounters”角色的用户可以在“Eye Exam”表单中输入恶意脚本。当其他具有相同角色的用户查看该表单答案时，恶意JavaScript代码将被执行，导致攻击者可窃取会话信息或执行恶意操作。
该漏洞源于OpenEMR在处理并显示“Eye Exam”表单答案时缺乏充分的输出编码。具体来说，应用程序未对用户提交的特定字段进行安全过滤，直接将数据存储到数据库中并在后续页面渲染。攻击者需具备“Notes - my encounters”角色权限，利用该权限在填写患者就诊的Eye Exam表单时注入恶意JavaScript payload。由于系统未转义特殊字符（如`<script>`标签），当管理员或其他授权用户访问患者 encounter 页面或访问历史记录时，浏览器会解析并执行该恶意脚本。由于是Stored XSS，攻击载荷持久存在于系统中，具有广泛的攻击面和潜在的危害性。