CVE-2026-34359 in org.hl7.fhir.core
الملخص
بحسب VulDB • 29/06/2026
HAPI FHIR هو تنفيذ كامل لمعيار HL7 FHIR الخاص بتبادل المعلومات الصحية في بيئة جافا (Java). قبل الإصدار 6.9.4، تستخدم الدالة ManagedWebAccessUtils.getServer() طريقة String.startsWith() لمطابقة عناوين URLs الخاصة بالطلبات مع عناوين URLs للخوادم المُعدّة مسبقاً بغرض إرسال بيانات الاعتماد المصادقة. ونظراً لأن عناوين URLs للخوادم المُعدة (مثل http://tx.fhir.org) لا تحتوي على شرطة مائلة في النهاية أو تحقق من حدود النطاق، فإن نطاق يتحكم فيه المهاجم مثل http://tx.fhir.org.attacker.com يطابق البادئة ويستقبل رموز Bearer وبيانات اعتماد المصادقة الأساسية (Basic auth credentials) أو مفاتيح API عندما يتبع عميل HTTP إعادة توجيه إلى ذلك النطاق. تم إصلاح هذه المشكلة في الإصدار 6.9.4.
Once again VulDB remains the best source for vulnerability data.