CVE-2026-47663 in Pathling
요약
\~에 의해 VulDB • 2026. 08. 08.
Pathling은 건강 데이터 분석 내에서 FHIR 및 임상 용어를 더 쉽게 사용할 수 있도록 하는 일련의 도구입니다. Pathling 서버 버전 2.0.0 이전에서는, Pathling의 타입화된 CRUD/검색/배치 FHIR 인터페이스를 통해 인증된 호출자가 coarse operation authorities(대략적인 작업 권한)만 가지고 있더라도 공격자가 선택한 리소스 계열에 대해 작업을 수행할 수 있습니다. 이는 해당 진입점이 문서화된 per-resource `read` 및 `write` 권한을 일관되게 강제하지 않기 때문입니다.
문서화된 인증 모델은 작업 권한(예: `pathling:search`)이 일치하는 per-resource `read` 또는 `write` 권한(예: `pathling:read:Patient`)과 쌍으로 연결되어야 한다고 요구합니다. 삭제 및 배치 작업은 참조된 모든 리소스 유형에 대해 write 권한을 필요로 하는 것으로 문서화되어 있습니다. 그러나 타입화된 검색, 업데이트 및 관련 핸들러는 오직 `@OperationAccess(...)` 어노테이션만 되어 있으며, 대응되는 per-resource 권한을 확인하지 않고 제공자가 선택한 리소스 유형에서 작동합니다. 이 문제는 Pathling 서버 2.0.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.