CVE-2026-113875
NiskieCVSS 3.1Streszczenie
W serwerze SmileCDR HAPI FHIR z włączonymi subskrypcjami REST-hook użytkownik z uprawnieniami do tworzenia subskrypcji może odpytywać i odczytywać zasoby, do których normalnie nie ma dostępu. Luka wynika z niewystarczającej kontroli uprawnień przy subskrypcjach.
Ocena ryzyka
Może dojść do nieautoryzowanego ujawnienia danych medycznych lub innych chronionych zasobów FHIR. Narusza to poufność i może prowadzić do niezgodności regulacyjnych.
Rekomendacja
Ogranicz uprawnienia do tworzenia subskrypcji REST-hook do zaufanych kont i wdróż weryfikację uprawnień po stronie serwera. Rozważ aktualizację do wersji zawierającej poprawkę, jeśli jest dostępna.
Inne podatności w SmileCDR HAPI FHIR
Zobacz wszystkie- CVE-2026-113876Średnie
SmileCDR HAPI FHIR nieprawidłowo sprawdza autoryzację dla warunkowych akcji tworzenia. Użytkownik posiadający uprawnienie CREATE, ale nie READ, może przesłać warunkowe utworzenie, którego predykat pasuje do istniejącego zasobu, i otrzymać zawartość docelowego zasobu.
- CVE-2026-113874Wysokie
SmileCDR HAPI FHIR pozwala niezaufanemu ciału bundle zastąpić tożsamość partycji ustanowioną wcześniej przez zaufane źródło i domyślnie nie egzekwuje uprawnień do partycji przechowywania. Atakujący upoważniony do jednego tenanta może czytać lub zapisywać dane w partycji innego tenanta.
- CVE-2026-113873Wysokie
SmileCDR HAPI FHIR nieprawidłowo obsługuje silnie skompresowane dane. Nieuwierzytelniony atakujący może wysłać skompresowane ładunki, które po dekompresji wyczerpują stertę serwera lub powodują awarię niektórych usług.
Oryginalny opis (angielski, źródło NVD)
On a SmileCDR HAPI FHIR server with REST-hook subscriptions enabled, if a user is granted subscription-creation permissions, they may be able to query and read resources that they are not otherwise permitted to access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS