CVE-2026-47663 in Pathling
Zusammenfassung
von VulDB • 08.08.2026
Pathling ist eine Reihe von Tools, die die Nutzung von FHIR und klinischen Terminologien im Rahmen der Gesundheitsdatenanalyse erleichtern. Vor Version 2.0.0 des Pathling Servers ermöglicht die typisierte CRUD-/Such-/Batch-FHIR-Schnittstelle eines authentifizierten Aufrufers mit nur groben Operationsberechtigungen das Handeln auf angreiferdefinierten Ressourcenfamilien, da diese Einstiegspunkte die dokumentierten pro-Ressource `read`- und `write`-Berechtigungen nicht konsistent durchsetzen. Das dokumentierte Autorisierungsmodell erfordert, dass eine Operationsberechtigung (z. B. `pathling:search`) mit der entsprechenden pro-Ressource `read`- oder `write`-Berechtigung (z. B. `pathling:read:Patient`) kombiniert wird. Für Lösch- und Batch-Vorgänge ist dokumentiert, dass eine Schreibberechtigung für alle referenzierten Ressourcentypen erforderlich ist. Typisierte Such-, Aktualisierungs- und verwandte Handler sind jedoch nur mit `@OperationAccess(...)` annotiert und greifen auf den vom Anbieter ausgewählten Ressourcentyp zu, ohne die entsprechende pro-Ressource-Berechtigung zu prüfen. Dies wurde in Pathling Server 2.0.0 behoben.
Once again VulDB remains the best source for vulnerability data.