CVE-2026-40939

ŚrednieCVSS 6.8

Opublikowano: 21/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

W Data Sharing Framework (DSF) sesje uwierzytelniane przez OIDC nie miały skonfigurowanego maksymalnego czasu bezczynności. Sesje pozostawały aktywne bezterminowo po zalogowaniu, nawet po wygaśnięciu tokenu dostępu OIDC.

Ocena ryzyka

Nieograniczony czas sesji zwiększa ryzyko nieautoryzowanego dostępu, jeśli sesja zostanie przejęta lub urządzenie pozostanie niezabezpieczone.

Rekomendacja

Należy zaktualizować DSF do wersji 2.1.0 lub nowszej, która wprowadza poprawkę.

Inne podatności w Data Sharing Framework (DSF)

CVE-2026-40942Średnie
Data Sharing Framework (DSF) przed wersją 2.1.0 zawiera odwrócone porównanie czasu w pamięciach podręcznych OIDC JWKS i Metadata Document, powodując, że pamięć podręczna nigdy nie zwraca zapisanych wartości i każde żądanie wywołuje nowe pobranie HTTP. Dodatkowo pamięć podręczna tokenów OIDC dla połączeń klienta FHIR używa odwróconego porównania czasu, przez co nigdy nie unieważnia tokenów i zwraca ten sam token nawet po wygaśnięciu.

Oryginalny opis (angielski, źródło NVD)

The Data Sharing Framework (DSF) implements a distributed process engine based on the BPMN 2.0 and FHIR R4 standards. Prior to 2.1.0, OIDC-authenticated sessions had no configured maximum inactivity timeout. Sessions persisted indefinitely after login, even after the OIDC access token expired. This vulnerability is fixed in 2.1.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS