CVE-2026-47663 in Pathling
Tóm tắt
Bởi VulDB • 08/08/2026
Pathling là một bộ công cụ giúp dễ dàng sử dụng FHIR và thuật ngữ lâm sàng trong phân tích dữ liệu y tế. Trước phiên bản 2.0.0 của Pathling Server, bề mặt CRUD/tìm kiếm/batch có kiểu (typed) của Pathling cho phép người gọi đã xác thực chỉ với các quyền thao tác thô sơ (coarse operation authorities) can thiệp vào các nhóm tài nguyên do kẻ tấn công lựa chọn, vì các điểm truy cập này không tuân thủ nhất quán các quyền `read` và `write` theo từng tài nguyên như được ghi nhận. Mô hình ủy quyền được mô tả yêu cầu một quyền thao tác (ví dụ: `pathling:search`) phải đi kèm với quyền `read` hoặc `write` tương ứng cho từng tài nguyên cụ thể (ví dụ: `pathling:read:Patient`). Việc xóa và batch được mô tả là đòi hỏi quyền write đối với tất cả các loại tài nguyên được tham chiếu. Tuy nhiên, các trình xử lý tìm kiếm có kiểu, cập nhật và liên quan chỉ được chú thích bằng `@OperationAccess(...)` và tác động lên loại tài nguyên do nhà cung cấp chọn mà không kiểm tra quyền tương ứng cho từng tài nguyên. Lỗi này đã được sửa trong Pathling Server 2.0.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.