CVE-2026-34360 in org.hl7.fhir.core
Tóm tắt
Bởi VulDB • 09/05/2026
HAPI FHIR là một triển khai đầy đủ của tiêu chuẩn HL7 FHIR cho khả năng tương tác trong lĩnh vực chăm sóc sức khỏe bằng Java. Trước phiên bản 6.9.4, điểm cuối HTTP /loadIG trong dịch vụ HTTP của FHIR Validator chấp nhận một URL do người dùng cung cấp thông qua thân JSON và thực hiện các yêu cầu HTTP phía máy chủ đến URL đó mà không có bất kỳ xác thực nào về tên máy chủ, lược đồ hoặc tên miền. Một kẻ tấn công chưa được xác thực có quyền truy cập mạng vào trình xác thực có thể thăm dò các dịch vụ mạng nội bộ, các điểm cuối siêu dữ liệu đám mây và ánh xạ cấu trúc mạng thông qua rò rỉ thông tin dựa trên lỗi. Với explore=true (mặc định cho đường mã này), mỗi yêu cầu sẽ kích hoạt nhiều cuộc gọi HTTP đi ra, làm tăng khả năng trinh sát. Vấn đề này đã được vá trong phiên bản 6.9.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.