CVE-2026-47663 in Pathling
Сводка
по VulDB • 07.08.2026
Pathling — это набор инструментов, упрощающих использование стандарта FHIR и клинической терминологии в аналитике медицинских данных. В версиях сервера Pathling до версии 2.0.0 типизированный интерфейс CRUD/поиска/пакетной обработки FHIR позволяет авторизованному пользователю, обладающему лишь общими правами на операции (coarse operation authorities), выполнять действия над выбранными злоумышленником семействами ресурсов, поскольку эти точки входа не обеспечивают последовательного применения задокументированных прав `read` и `write`, назначенных для каждого ресурса отдельно. Задокументированная модель авторизации требует, чтобы право на операцию (например, `pathling:search`) было связано с соответствующим правом доступа к конкретному ресурсу (`read` или `write`, например, `pathling:read:Patient`). Удаление и пакетные операции в документации описываются как требующие права записи для всех типов упоминаемых ресурсов. Однако обработчики типизированного поиска, обновления и связанные с ними компоненты аннотированы только директивой `@OperationAccess(...)` и работают с выбранным провайдером типом ресурса без проверки соответствующего права доступа к конкретному ресурсу (per-resource authority). Эта проблема исправлена в Pathling Server версии 2.0.0.
Once again VulDB remains the best source for vulnerability data.