Pathling — это набор инструментов, которые упрощают использование FHIR и клинической терминологии при анализе медицинских данных. До версии Pathling Server 2.0.0 операция массовой отправки Pathling позволяла разрешенному отправителю предоставлять явный параметр oauthMetadataUrl, который не проверяется на соответствие pathling.bulkSubmit.allowableSources. Если он присутствует, поток OAuth для массовой отправки доверяет метаданным и возвращенной `token_endpoint` из местоположения, выбранного вызывающим абонентом, а затем создает исходящую аутентификацию клиента OAuth непосредственно на основе сохраненных учетных данных отправителя.
Это исправлено в Pathling Server 2.0.0.
Показать оригинальное описание (EN)
Pathling is a set of tools that make it easier to use FHIR and clinical terminology within health data analytics. Prior to version 2.0.0 of Pathling Server, Pathling's bulk-submit operation allows an allowed submitter to supply an explicit `oauthMetadataUrl` parameter that is not validated against `pathling.bulkSubmit.allowableSources`. When present, the bulk-submit OAuth flow trusts metadata and the returned `token_endpoint` from the caller-chosen location, then builds outbound OAuth client authentication directly from the submitter's stored credentials. This is fixed in Pathling Server 2.0.0.
Характеристики атаки
Последствия
Строка CVSS v4.0