Ad

CVE-2026-47662

HIGH CVSS 4.0: 8,7 EPSS 0.24%
Обновлено 13 августа 2026
Pathling
Параметр Значение
CVSS 8,7 (HIGH)
Тип уязвимости CWE-918 (Подделка запросов на стороне сервера (SSRF)), CWE-20 (Неправильная проверка ввода), CWE-522 (Недостаточно защищённые учётные данные)
Поставщик Pathling
Публичный эксплойт Нет

Pathling — это набор инструментов, которые упрощают использование FHIR и клинической терминологии при анализе медицинских данных. До версии 2.0.0 Pathling Server типизированная поверхность CRUD/search/batch FHIR Pathling позволяла аутентифицированному вызывающему абоненту с только грубыми правами на операции действовать с выбранными злоумышленником семействами ресурсов, поскольку эти точки входа не обеспечивают последовательно документированные права `чтения` и `записи` для каждого ресурса. Документированная модель авторизации требует, чтобы полномочия операции (например, pathling:search) были объединены с соответствующими полномочиями чтения или записи для каждого ресурса (например, pathling:read:Patient).

Документировано, что удаление и пакетное копирование требуют полномочий на запись для всех типов ресурсов, на которые ссылаются. Однако типизированный поиск, обновление и связанные обработчики помечаются только с помощью `@OperationAccess(...)` и действуют на тип ресурса, выбранный поставщиком, без проверки соответствующих полномочий для каждого ресурса. Это исправлено в Pathling Server 2.0.0.

Показать оригинальное описание (EN)

Pathling is a set of tools that make it easier to use FHIR and clinical terminology within health data analytics. Prior to version 2.0.0 of Pathling Server, Pathling's typed CRUD/search/batch FHIR surface allows an authenticated caller with only coarse operation authorities to act on attacker-chosen resource families because those entrypoints do not consistently enforce the documented per-resource `read` and `write` authorities. The documented authorization model requires an operation authority (e.g. `pathling:search`) to be paired with the matching per-resource `read` or `write` authority (e.g. `pathling:read:Patient`). Delete and batch are documented to require write authority for all referenced resource types. However, typed search, update, and related handlers are annotated only with `@OperationAccess(...)` and act on the provider-selected resource type without checking the corresponding per-resource authority. This is fixed in Pathling Server 2.0.0.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Уязвимые продукты

aehrc:pathling