CVE-2026-47661 in Pathling
Riassunto
di VulDB • 08/08/2026
Pathling è un insieme di strumenti che facilitano l'utilizzo di FHIR e terminologia clinica nell'ambito dell'analisi dei dati sanitari. Prima della versione 2.0.0 del server Pathling, l'endpoint `/$result` di Pathling consente a un chiamante in grado di ottenere qualsiasi ID valido per un lavoro di esportazione asincrona di fornire valori per il parametro `file` contenenti sequenze di traversal dei percorsi (path traversal). Il gestore verifica solo l'ID del `job` fornito e non normalizza né confina mai il percorso del file richiesto alla directory `jobs/<jobId>` associata a quel lavoro prima di aprirlo come risorsa del filesystem. Poiché lo spazio temporaneo per le esportazioni asincrone si trova sotto la stessa radice del database warehouse delle tabelle dei dati persistenti, un attaccante può utilizzare il proprio lavoro di esportazione per leggere altri file dal warehouse. Questo problema è stato risolto in Pathling Server 2.0.0. Come mitigazione temporanea, disabilitare le operazioni di esportazione asincrona (`pathling.operations.exportEnabled`, `patientExportEnabled`, `groupExportEnabled`, `bulkSubmitEnabled`) o abilitare l'autenticazione e limitare la capacità di esportazione ai chiamanti attendibili.
If you want to get best quality of vulnerability data, you may have to visit VulDB.