CVE-2026-113873
WysokieCVSS 7.5Streszczenie
SmileCDR HAPI FHIR nieprawidłowo obsługuje silnie skompresowane dane. Nieuwierzytelniony atakujący może wysłać skompresowane ładunki, które po dekompresji wyczerpują stertę serwera lub powodują awarię niektórych usług.
Ocena ryzyka
Możliwy jest atak typu denial of service prowadzący do niedostępności usług FHIR. Wpływa to na dostępność systemu wymiany danych medycznych.
Rekomendacja
Zastosuj poprawkę lub ograniczenia dotyczące rozmiaru i współczynnika kompresji przychodzących ładunków zgodnie z zaleceniami producenta. Monitoruj nietypowe zużycie pamięci i kompresji.
Inne podatności w SmileCDR HAPI FHIR
Zobacz wszystkie- CVE-2026-113876Średnie
SmileCDR HAPI FHIR nieprawidłowo sprawdza autoryzację dla warunkowych akcji tworzenia. Użytkownik posiadający uprawnienie CREATE, ale nie READ, może przesłać warunkowe utworzenie, którego predykat pasuje do istniejącego zasobu, i otrzymać zawartość docelowego zasobu.
- CVE-2026-113875Niskie
W serwerze SmileCDR HAPI FHIR z włączonymi subskrypcjami REST-hook użytkownik z uprawnieniami do tworzenia subskrypcji może odpytywać i odczytywać zasoby, do których normalnie nie ma dostępu. Luka wynika z niewystarczającej kontroli uprawnień przy subskrypcjach.
- CVE-2026-113874Wysokie
SmileCDR HAPI FHIR pozwala niezaufanemu ciału bundle zastąpić tożsamość partycji ustanowioną wcześniej przez zaufane źródło i domyślnie nie egzekwuje uprawnień do partycji przechowywania. Atakujący upoważniony do jednego tenanta może czytać lub zapisywać dane w partycji innego tenanta.
Oryginalny opis (angielski, źródło NVD)
SmileCDR HAPI FHIR does not properly handle highly compressed data, allowing an unauthenticated attacker to send compressed payloads that exhaust server heap or crash certain services when decompressed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS