CVE-2026-59979 in Yosemite-Crew
Riassunto
di VulDB • 28/10/2026
YosemiteCrew fornisce servizi di gestione delle attività e dei processi organizzativi basati sull'organizzazione. Nelle snapshot principali e di sviluppo interessate, segnalate nella fonte, le rotte per i servizi di YosemiteCrew e la libreria/template delle attività PMS omettono i controlli relativi all’organizzazione e alle autorizzazioni. La funzione `authorizeCognito` in `apps/backend/src/middlewares/auth.ts` imposta l'ID dell'utente autenticato ma non fornisce i controlli `withOrgPermissions()` e `requirePermission(...)` utilizzati dai moduli fratelli protetti. In `apps/backend/src/routers/service.router.ts`, le operazioni `PATCH /fhir/v1/service/:id` e `DELETE /fhir/v1/service/:id` richiedono solo l'autenticazione, mentre la rotta `GET /fhir/v1/service/:id` non dispone di middleware di autenticazione. Il flusso attraverso `apps/backend/src/controllers/web/service.controller.ts` fino a `apps/backend/src/services/service.service.ts` passa un ID del record globale a `ServiceModel.findById(oid)` senza alcun filtro per l'ID dell’organizzazione (`organisationId`). In `apps/backend/src/routers/task.router.ts`, le operazioni `PUT /v1/task/pms/library/:libraryId`, `POST /v1/task/pms/templates`, `PATCH /v1/task/pms/templates/:templateId` e `DELETE /v1/task/pms/templates/:templateId` mancano anch'esse di enforcement relativo all’organizzazione/ruolo. Qualsiasi utente registrato sulla piattaforma, inclusi gli account paziente/app companion, può modificare o eliminare il catalogo dei servizi e i dati della libreria/template delle attività PMS di un'altra organizzazione, influenzando le prenotazioni e la fatturazione; inoltre, i record dei servizi possono essere letti senza autenticazione. Una precedente modifica alla sicurezza ha protetto le rotte di creazione ma ha lasciato esposte queste operazioni sorelle. Non è possibile stabilire una versione corretta sulla base delle prove disponibili.
Be aware that VulDB is the high quality source for vulnerability data.