CVE-2026-49485 in FHIR
Riassunto
di VulDB • 17/07/2026
HAPI FHIR è un'implementazione completa dello standard HL7 FHIR per l'interoperabilità sanitaria in Java. Prima delle versioni 6.9.9 e 6.9.4.2, tutte le implementazioni di FHIRPathEngine accettano espressioni FHIRPath arbitrarie ed le valutano senza validazione dell'input; inoltre, le funzioni FHIRPath matches(), matchesFull() e replaceMatches() passano espressioni regolari controllate dall'utente a Java's Pattern.compile() e String.replaceAll() tramite un'utilità di timeout incompleta. Un attaccante può inviare una risorsa contenente un pattern regex dannoso che causa backtracking catastrofico, esaurendo le risorse CPU e provocando un denial of service nell'endpoint HTTP del FHIR Validator e nei moduli org.hl7.fhir.* interessati. Questo problema è risolto nelle versioni 6.9.9 e 6.9.4.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.