Kojiromike

تسمح مشكلة إلغاء تسلسل (deserialization) غير مصفاة للمهاجمين المصرح لهم بالتلاعب بمعايير مطابقة المرضى. من خلال تقديم معلمة `key` مسلسلة ومصممة خصيصاً إلى نقطة النهاية 'interface/orders/patient match dialog.php'، يمكن للمهاجمين تعداد المرضى أو فرض مطابقات تربط طلبات المختبر بالمريض الخطأ. إلغاء التسلسل هو عملية تحويل سلسلة نصية مسلسلة مرة أخرى إلى كائن أو هيكل بيانات.

توجد مشكلة في التصريح غير المناسب في الدالة `ScopeRepository::finalizeScopes()`. يحدث هذا لأن الدالة `ScopeEntity::containsScope()` تتجاهل الأذونات المسجلة، مما يسمح لعملاء SMART/OAuth الذين لديهم صلاحية القراءة فقط بالحصول على صلاحيات الكتابة. يمكن للمهاجم الذي لديه عميل مسجل لـ `user/<resource>.read` طلب `user/<resource>.write` لإنشاء بيانات المرضى أو المواعيد وتحديثها وحذفها.

توجد ثغرة مرجع كائن مباشر غير آمن في نقطة النهاية 'portal/lib/persist.php'. يمكن للمرضى الموثقين عبر البوابة تعديل إعدادات مرضى آخرين من خلال تقديم قيمة `setting patient` عشوائية. يتيح ذلك للمهاجمين إدراج أو الكتابة فوق صفوف في جدول patient settings لكتم الإشعارات، أو التلاعب بأعلام الموافقة، أو تغيير تفضيلات البوابة.

توجد مشكلة في التصريح غير المناسب في نقطة النهاية POST '/fhir/DocumentReference/$docref'. يمكن للمستخدمين الذين لديهم صلاحيات منخفضة للبيانات الديموغرافية والمستندات تقديم معامل مريض معين لإنشاء وتنزيل مستند CCDA (مستند استمرارية الرعاية) للسجل الكامل من مستندات المريض، مما يؤدي إلى تسريب البيانات السريرية.

يوجد خلل في التحكم في الوصول في نقطة النهاية 'portal/portal payment.php' يسمح للمستخدمين المصرح لهم بصلاحيات منخفضة بتجاوز فحوصات قائمة التحكم في الوصول (ACL) الخاصة بالفواتير. من خلال التلاعب بالمعاملات `pid` و `form pid` يمكن للمهاجم عرض صفحات الدفع وتسجيل إيصالات دفع احتيالية لمرضى عشوائيين مما يؤدي إلى فساد سجلات الفواتير.