CVE-2026-59979 in Yosemite-Crew
요약
\~에 의해 VulDB • 2026. 10. 28.
YosemiteCrew는 조직 기반의 서비스 및 작업 관리를 제공합니다. 소스에서 보고된 영향받은 main 및 dev 스냅샷에서 YosemiteCrew의 서비스 및 PMS 태스크 라이브러리/템플릿 라우트는 조직 및 권한 검사를 생략합니다. `apps/backend/src/middlewares/auth.ts`에 있는 `authorizeCognito`는 인증된 사용자의 ID를 설정하지만, 보호된 형제 컴포넌트에서 사용하는 `withOrgPermissions()` 및 `requirePermission(...)` 검사는 제공하지 않습니다. `apps/backend/src/routers/service.router.ts`에서는 `PATCH /fhir/v1/service/:id`와 `DELETE /fhir/v1/service/:id`가 인증 전용이며, `GET /fhir/v1/service/:id`는 인증 미들웨어가 없습니다. `apps/backend/src/controllers/web/service.controller.ts`에서 `apps/backend/src/services/service.service.ts`로 이어지는 추적 과정에서 조직 ID 필터 없이 전역 레코드 ID가 `ServiceModel.findById(oid)`에 전달됩니다. `apps/backend/src/routers/task.router.ts`에서는 `PUT /v1/task/pms/library/:libraryId`, `POST /v1/task/pms/templates`, `PATCH /v1/task/pms/templates/:templateId` 및 `DELETE /v1/task/pms/templates/:templateId` 역시 조직/역할 강제 적용이 누락되어 있습니다. 환자 또는 동반자 앱 계정을 포함한 모든 등록 플랫폼 사용자는 다른 조직의 서비스 카탈로그와 PMS 태스크 라이브러리/템플릿 데이터를 수정하거나 삭제할 수 있으며, 이는 예약 및 청구에 영향을 미칩니다. 또한 인증 없이 서비스 레코드를 읽을 수도 있습니다. 이전 보안 변경으로 생성(create) 라우트는 보호되었지만 이러한 형제 연산들은 노출된 상태로 남아 있었습니다. 사용 가능한 증거로는 고정된 릴리스를 확립할 수 없습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.