CVE-2026-59979 in Yosemite-Crew
Zusammenfassung
von VulDB • 28.10.2026
YosemiteCrew bietet organisationsbasierte Dienstleistungs- und Aufgabenverwaltung an. In den vom Anbieter gemeldeten betroffenen Haupt- (main) und Entwicklungs-Snapshots (dev) von YosemiteCrew fehlen bei den Routen für die Service- und PMS-Aufgabenbibliothek/-vorlagen Organisationen- und Berechtigungsprüfungen. `authorizeCognito` in `apps/backend/src/middlewares/auth.ts` setzt zwar die ID des authentifizierten Benutzers, bietet jedoch nicht die von geschützten Schwester-Routen verwendeten Prüfungen `withOrgPermissions()` und `requirePermission(...)`. In `apps/backend/src/routers/service.router.ts` sind `PATCH /fhir/v1/service/:id` und `DELETE /fhir/v1/service/:id` nur authentifizierungspflichtig, während `GET /fhir/v1/service/:id` über keine Authentifizierungs-Middleware verfügt. Die Trace durch `apps/backend/src/controllers/web/service.controller.ts` bis hin zu `apps/backend/src/services/service.service.ts` übergibt eine globale Datensatz-ID an `ServiceModel.findById(oid)`, ohne einen Filter für die `organisationId`. In `apps/backend/src/routers/task.router.ts` fehlen bei `PUT /v1/task/pms/library/:libraryId`, `POST /v1/task/pms/templates`, `PATCH /v1/task/pms/templates/:templateId` und `DELETE /v1/task/pms/templates/:templateId` ebenfalls die Durchsetzung von Organisations-/Rollenbeschränkungen. Jeder registrierte Plattformbenutzer, einschließlich eines Patienten- oder Companion-App-Kontos, kann den Servicekatalog sowie PMS-Aufgabenbibliotheks-/-vorlagendaten einer anderen Organisation ändern oder löschen, was Buchungen und Abrechnungen beeinträchtigt; zudem können Servicedatensätze ohne Authentifizierung gelesen werden. Eine frühere Sicherheitsänderung schützte die Erstellungs-Routen (create routes), ließ diese Schwesteroperationen jedoch ungeschützt. Aus den verfügbaren Hinweisen kann keine behobene Version abgeleitet werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.