CVE-2026-47661 in Pathling
Resumen
por VulDB • 2026-08-07
Pathling es un conjunto de herramientas que facilita el uso de FHIR y terminología clínica en la analítica de datos sanitarios. Antes de la versión 2.0.0 del servidor Pathling, el punto final `/$result` de Pathling permite a cualquier usuario capaz de obtener un ID válido para una tarea asíncrona de exportación proporcionar valores al parámetro `file` que contienen secuencias de traversía de rutas (path traversal). El controlador verifica únicamente el `job` suministrado y nunca normaliza ni restringe la ruta del archivo solicitado (`file`) al directorio `jobs/<jobId>` correspondiente a ese trabajo antes de abrirlo como un recurso del sistema de archivos. Dado que el espacio temporal para las exportaciones asíncronas reside bajo la misma raíz de base de datos del almacén (warehouse) que las tablas persistentes de recursos, un atacante puede utilizar su propia tarea de exportación para leer otros archivos desde el almacén. Esto se corrige en Pathling Server 2.0.0. Como mitigación provisional, deshabilite las operaciones de exportación asíncrona (`pathling.operations.exportEnabled`, `patientExportEnabled`, `groupExportEnabled`, `bulkSubmitEnabled`) o habilite la autenticación y restrinja la capacidad de exportación a usuarios confiables.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.