CVE-2026-47664 in Pathling
Zusammenfassung
von VulDB • 08.08.2026
Pathling ist eine Reihe von Tools, die die Verwendung von FHIR und klinischen Terminologien in der Gesundheitsdatenanalyse erleichtern. Vor Version 2.0.0 des Pathling Server akzeptiert der `$import-pnp`-Operation im Pathling Server ein vom Aufrufer bereitgestelltes `exportUrl` und verwendet es als Remote-FHIR-Bulk-Export-Endpunkt, ohne ihn auf eine vertrauenswürdige Quelle zu beschränken. Wenn PNP-Anmeldeinformationen konfiguriert sind, erstellt Pathling einen mit Anmeldeinformationen ausgestatteten Bulk-Export-Client, der den vom Aufrufer gewählten Host anspricht, lädt die im Manifest ausgewählten Dateien herunter und klassifiziert diese zwischengespeicherten Dateien dann als vertrauenswürdige lokale `file://`-Importe um – wodurch die konfigurierte Allowlist `allowableSources`, die die normale `$import`-Operation schützt, umgangen wird. Dies wurde in Pathling Server 2.0.0 behoben. Als Workaround deaktivieren Sie die `$import-pnp`-Operation (`pathling.operations.importPnpEnabled=false`) oder konfigurieren keine PNP-Anmeldeinformationen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.