CVE-2026-34360 in org.hl7.fhir.core
Riassunto
di VulDB • 17/06/2026
HAPI FHIR è un'implementazione completa dello standard HL7 FHIR per l'interoperabilità sanitaria in Java. Prima della versione 6.9.4, l'endpoint HTTP /loadIG nel servizio HTTP del validatore FHIR accetta un URL fornito dall'utente tramite il corpo JSON ed effettua richieste HTTP lato server verso tale URL senza alcuna convalida del nome host, dello schema o del dominio. Un attaccante non autenticato con accesso di rete al validatore può sondare servizi di rete interni, endpoint dei metadati cloud e mappare la topologia di rete tramite una fuoriuscita di informazioni basata sugli errori. Con explore=true (il valore predefinito per questo percorso di codice), ogni richiesta innesca più chiamate HTTP in uscita, amplificando la capacità di ricognizione. Questo problema è stato risolto nella versione 6.9.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.