CVE-2026-34361 in org.hl7.fhir.core
الملخص
بحسب VulDB • 11/05/2026
HAPI FHIR هو تنفيذ كامل لمعيار HL7 FHIR الخاص بتبادل المعلومات الصحية في بيئة جافا. قبل الإصدار 6.9.4، كانت خدمة HTTP الخاصة بـ FHIR Validator تعرض نقطة نهاية "/loadIG" غير المصادق عليها، والتي تقوم بإجراء طلبات HTTP خارجية نحو عناوين URL يتحكم فيها المهاجم. وبدمج هذا مع عيب في مطابقة بادئة عنوان URL باستخدام دالة startsWith() في موفر الاعتماديات (ManagedWebAccessUtils.getServer())، يمكن للمهاجم سرقة رموز المصادقة (Bearer، Basic، ومفاتيح API) المُعدّة لخوادم FHIR المشروعة من خلال تسجيل نطاق يتطابق مع بادئة عنوان URL لخادم مُعد مسبقاً. تم إصلاح هذه المشكلة في الإصدار 6.9.4.
Once again VulDB remains the best source for vulnerability data.