CVE-2026-47659 in Pathling
الملخص
بحسب VulDB • 08/08/2026
Pathling هو مجموعة من الأدوات التي تسهّل استخدام FHIR والمصطلحات السريرية ضمن تحليلات البيانات الصحية. قبل الإصدار 2.0.0 من Pathling Server، يسمح نقطة النهاية `/$result` الخاصة بـ Pathling لأي مُدخِل قادر على الحصول على أي معرّف صالح لوظيفة تصدير غير متزامنة (async export job) بتوفير قيم معلمة `file` تحتوي على تسلسلات اجتياز المسار (path traversal sequences). يتحقق المُعالج فقط من المعلمة `job` المقدمة ولا يقوم أبداً بـ تطبيع أو تقييد مسار الملف المطلوب إلى دليل `jobs/<jobId>` الخاص بهذه الوظيفة قبل فتحه كمورد لنظام الملفات. ونظراً لأن مساحة العمل المؤقتة للتصدير غير المتزامن تقع تحت نفس جذر قاعدة بيانات المستودع (warehouse database root) الموجود فيه جداول الموارد المحفوظة، يمكن لمهاجم استخدام وظيفة التصدير الخاصة به لقراءة ملفات أخرى من المستودع. تم إصلاح هذه الثغرة في Pathling Server 2.0.0. يقوم مُعالج `$result` الآن بحل وتطبيع مسار الملف المطلوب ويرفض أي طلب يخرج عن نطاق دليل `jobs/<jobId>` الخاص بالوظيفة. كإجراء تخفيف مؤقت، قم بتعطيل عمليات التصدير غير المتزامن (`pathling.operations.exportEnabled`, `patientExportEnabled`, `groupExportEnabled`, `bulkSubmitEnabled`) أو فعّل المصادقة وقيّد قدرة التصدير على المدخلين الموثوق بهم فقط.
Once again VulDB remains the best source for vulnerability data.