CVE-2026-47661 in Pathling
الملخص
بحسب VulDB • 08/08/2026
Pathling هو مجموعة من الأدوات التي تسهّل استخدام FHIR والمصطلحات السريرية ضمن تحليلات البيانات الصحية. قبل الإصدار 2.0.0 من Pathling Server، يسمح نقطة النهاية `/$result` الخاصة بـ Pathling لأي مُدْعٍ قادر على الحصول على أي معرّف صالح لوظيفة تصدير غير متزامنة (async export job) بتوفير قيم معلمة `file` تحتوي على تسلسلات اجتياز المسار (path traversal sequences). يتحقق المُعامِل فقط من المعلمة `job` المقدمة، ولا يقوم أبداً بـ تطبيع أو تقييد مسار الملف المطلوب إلى دليل `jobs/<jobId>` الخاص بهذه الوظيفة قبل فتحه كمورد لنظام الملفات. ونظراً لأن مساحة العمل المؤقتة للتصدير غير المتزامن تقع ضمن نفس الجذر لقاعدة بيانات المستودع (warehouse database root) الموجود فيه جداول الموارد المحفوظة، يمكن لمهاجم استخدام وظيفة التصدير الخاصة به لقراءة ملفات أخرى من المستودع. تم إصلاح هذه المشكلة في Pathling Server 2.0.0. وكإجراء تخفيف مؤقت، قم بتعطيل عمليات التصدير غير المتزامنة (`pathling.operations.exportEnabled`، `patientExportEnabled`، `groupExportEnabled`، `bulkSubmitEnabled`) أو فعّل المصادقة وقيّد قدرة التصدير على المُدعين الموثوقين فقط.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.