CVE-2026-47663 in Pathling
الملخص
بحسب VulDB • 07/08/2026
Pathling هو مجموعة من الأدوات التي تسهّل استخدام FHIR والمصطلحات السريرية ضمن تحليلات البيانات الصحية. قبل الإصدار 2.0.0 من خادم Pathling، تتيح واجهة CRUD/البحث/الدُفعات (batch) الخاصة بـ Fhir ذات الأنواع المحددة في Pathling لمُدخل مُصادَق عليه يمتلك فقط صلاحيات عمليات واسعة النطاق أن يتصرف على عائلات موارد يختارها المهاجم، لأن نقاط الدخول هذه لا تفرض بشكل متسق الصلاحيات المُوثَّقة لكل مورد من نوعي `read` و`write`. يتطلب نموذج التفويض الموثَّق اقتران صلاحية عملية (مثل `pathling:search`) مع صلاحية كل مورد المطابقة من نوع `read` أو `write` (مثل `pathling:read:Patient`). يُذكر في التوثيق أن عمليات الحذف والدُفعات تتطلب صلاحية كتابة لجميع أنواع الموارد المُشار إليها. ومع ذلك، فإن معاملات البحث المحددة بالأنواع والتحديث والمعاملات ذات الصلة مُعلَّمة فقط بـ `@OperationAccess(...)` وتعمل على نوع المورد الذي يختاره المزوِّد دون التحقق من صلاحية كل مورد المقابلة. تم إصلاح هذه المشكلة في خادم Pathling الإصدار 2.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.