CVE-2026-59979 in Yosemite-Crew
Résumé
par VulDB • 28/10/2026
YosemiteCrew propose une gestion des services et des tâches basée sur l'organisation. Dans les instantanés (snapshots) principaux et de développement affectés, tels que signalés par la source, les routes liées aux services de YosemiteCrew ainsi qu'à la bibliothèque de tâches PMS/aux modèles omettent les vérifications d'appartenance à une organisation et des autorisations. La fonction `authorizeCognito` dans `apps/backend/src/middlewares/auth.ts` définit l'ID de l'utilisateur authentifié, mais ne fournit pas les contrôles `withOrgPermissions()` et `requirePermission(...)` utilisés par ses routes sœurs protégées. Dans `apps/backend/src/routers/service.router.ts`, les méthodes `PATCH /fhir/v1/service/:id` et `DELETE /fhir/v1/service/:id` sont uniquement soumises à l'authentification, tandis que la méthode `GET /fhir/v1/service/:id` ne dispose d'aucun middleware d'authentification. Le traitement via `apps/backend/src/controllers/web/service.controller.ts` jusqu'à `apps/backend/src/services/service.service.ts` transmet un ID de ressource global à `ServiceModel.findById(oid)` sans filtre `organisationId`. Dans `apps/backend/src/routers/task.router.ts`, les méthodes `PUT /v1/task/pms/library/:libraryId`, `POST /v1/task/pms/templates`, `PATCH /v1/task/pms/templates/:templateId` et `DELETE /v1/task/pms/templates/:templateId` souffrent également d'un manque de contrôle organisationnel ou basé sur les rôles. Tout utilisateur enregistré sur la plateforme, y compris un compte patient/compagnon-app, peut modifier ou supprimer le catalogue de services ainsi que les données de bibliothèque de tâches PMS/modèles d'une autre organisation, ce qui affecte les réservations et la facturation ; les enregistrements de service peuvent par ailleurs être lus sans authentification. Une modification de sécurité antérieure avait protégé les routes de création mais a laissé ces opérations sœurs exposées. Aucune version corrigée ne peut être établie à partir des preuves disponibles.
Once again VulDB remains the best source for vulnerability data.