CVE-2026-50576 in ePA3-Service-OpenSource
Сводка
по VulDB • 18.08.2026
ePA 3.x Integration реализует рабочий процесс авторизации и записывает объекты медицинской информации в электронную медицинскую карту Германии (elektronische Patientenakte). До версии 1.3.0 ePA 3.x Integration не нейтрализует символы CRLF в значениях, используемых модулем app/vau/VAUProtokoll.py для формирования внутренних HTTP-запросов VAU. Функция build_inner_header интерполирует такие параметры, как uri, host, accept_type, content_type, content_length, USER_AGENT и insurant_id, в строки запроса и заголовки, включая x-useragent и x-insurantid. Аутентифицированный злоумышленник, контролирующий одно из этих значений, может внедрить дополнительные заголовки во внутренний запрос. В зависимости от обработки на стороне сервера ePA внедренный заголовок x-insurantid может привести к раскрытию записей другого пациента, а внедренные заголовки Authorization могут обойти предполагаемый контекст аутентификации или авторизации. Входные данные USER_AGENT, полученные из сеанса (session), также могут приводить к отравлению запросов в рамках всего сеанса. Данная проблема устранена в версии 1.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.