CVE-2026-47662 in Pathling
要約
〜によって VulDB • 2026年08月08日
Pathlingは、健康データ分析においてFHIRおよび臨床用語をより簡単に使用できるようにする一連のツールです。Pathling Serverバージョン2.0.0以前では、Pathlingの型付きCRUD/検索/バッチFHIRインターフェースにより、粗粒度の操作権限のみを持つ認証済み呼び出し元が、攻撃者が選択したリソースファミリーに対してアクションを実行できる可能性があります。これは、これらのエントリポイントで文書化されたリソースごとの`read`および`write`権限の一貫した適用が行われていないためです。
文書化された認可モデルでは、操作権限（例：`pathling:search`）が対応するリソースごとの`read`または`write`権限（例：`pathling:read:Patient`）とペアになっている必要があります。削除およびバッチ処理は、参照されるすべてのリソースタイプに対して書き込み権限を必要とするように文書化されています。
しかし、型付き検索、更新、関連するハンドラは`@OperationAccess(...)`のみで注釈が付けられており、プロバイダによって選択されたリソースタイプ上で動作しますが、対応するリソースごとの権限のチェックが行われません。この問題はPathling Server 2.0.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.