CVE-2026-33913OpenEMR是一款广泛使用的免费开源电子健康记录及医疗实践管理软件。在8.0.0.3版本之前，其Carecoordination模块存在严重的安全缺陷。经过身份验证的攻击者若拥有该模块的访问权限，可上传精心构造的CCDA文档。由于系统对XML外部实体（XXE）解析处理不当，攻击者能利用此漏洞读取服务器上的任意文件，如配置文件或密码文件，从而造成敏感信息泄露。官方已在8.0.0.3版本中修复了此问题。
该漏洞属于典型的XML外部实体注入（XXE）。OpenEMR在处理通过Carecoordination模块上传的CCDA文档时，使用的XML解析器未禁用外部实体的解析。攻击者利用低权限账户登录系统后，构造包含恶意`<xi:include>`标签的XML文件。当服务端解析该文件时，会按照指令读取`/etc/passwd`等敏感系统文件内容，并将其嵌入到解析结果中返回给用户。由于CVSS评分为7.7且影响范围为C（Scope Changed），该漏洞不仅泄露数据，还可能作为跳板进行内网探测。利用过程无需用户交互，且攻击门槛较低。