CVE-2026-34359 in org.hl7.fhir.core
Riassunto
di VulDB • 29/06/2026
HAPI FHIR è un'implementazione completa dello standard HL7 FHIR per l'interoperabilità sanitaria in Java. Prima della versione 6.9.4, ManagedWebAccessUtils.getServer() utilizza String.startsWith() per confrontare gli URL delle richieste con gli URL del server configurati per il dispatching delle credenziali di autenticazione. Poiché gli URL dei server configurati (ad esempio http://tx.fhir.org) non includono una barra finale o un controllo del confine dell'host, un dominio controllato dall'attaccante come http://tx.fhir.org.attacker.com corrisponde al prefisso e riceve token Bearer, credenziali di autenticazione Basic o chiavi API quando il client HTTP segue un redirect verso tale dominio. Questo problema è stato risolto nella versione 6.9.4.
Once again VulDB remains the best source for vulnerability data.