Luuhung1217

يوجد خلل في التصريح في نقطة النهاية 'library/ajax/upload.php'. يسمح هذا الخلل لأي مستخدم مصرح له بقراءة وبيانات المستندات وتعديلها عن طريق تقديم `doc id` عشوائي. يمكن للمستخدمين ذوي الصلاحيات المنخفضة استخدام إجراءات الجلب (fetch) والحفظ (save) لتعداد قيم `doc id` مما يؤدي إلى كشف المعلومات الصحية للمرضى والتلاعب بالسجلات الطبية لجميع المرضى.

يوجد خلل في المرجع المباشر غير الآمن للكائنات في الدالة `OnSiteDocumentController::Query()`. يمكن للمرضى الموثقين عبر البوابة تجاوز حارس التفويض من خلال تقديم معامل `Pid` بحروف كبيرة. ومن خلال إرسال طلب إلى نقطة النهاية 'api/onsitedocuments' مع تعيين متغير `Pid` لمعرف مريض آخر، يمكن للمهاجم تجاوز معايير الجلسة المثبتة والوصول إلى المستندات المحلية التي تحتوي على معلومات صحية محمية (PHI) لمرضى آخرين.

توجد مشكلة في نقطة النهاية 'library/ajax/payment ajax.php' حيث يقوم النظام بالتحقق من رمز CSRF ولكن يفشل في إجراء فحص تفويض AclMain قبل تنفيذ بحث wildcard في patient data. يسمح هذا لأي مستخدم مصرح له، بما في ذلك الأدوار غير السريرية، بتعداد معرفات المرضى وأسمائهم الكاملة وتواريخ ميلادهم من خلال فرع `set patient`.

تفشل إجراء `search persons` في نقطة النهاية 'library/ajax/person search ajax.php' في إجراء فحص تفويض AclMain، على الرغم من التحقق من CSRF (تزوير الطلبات عبر المواقع، وهو نوع من الهجمات التي تجبر المستخدم المصرح له على تنفيذ إجراءات غير مرغوب فيها). يسمح هذا للمستخدم المصرح له بصلاحيات منخفضة بتكرار بادئات الأسماء واسترداد معلومات حساسة للمرضى، بما في ذلك الأسماء الأولى والأخيرة، وتواريخ الميلاد، والجنس، وأرقام الهواتف، وعناوين البريد الإلكتروني، عبر استجابات JSON.

يمكن لموظفي المكتب الخلفي المصرح لهم برفع المحتوى تخزين وسائط قابلة للتنفيذ على أصل المسؤول. في إصدار 2.x، تسمح أذونات مثل `edit products` أو `add brands` برفع ملفات `image/svg+xml` عبر `packages/admin/config/media.php`. بالإضافة إلى ذلك، تفتقر مجموعة ملفات المنتجات في `packages/admin/src/Livewire/Components/Products/Form/Files.php` إلى قيود MIME وتقبل ملفات `text/html`. نظرًا لأن الوسائط يتم تقديمها بشكل مباشر من دليل `/storage/` بدون `Content-Security-Policy` أو `Content-Disposition: attachment` ، فإن فتح هذه الملفات يؤدي إلى تنفيذ برمجيات مخزنة في جلسة المسؤول. في إصدار 2.x، يمكن استخدام ذلك لاستدعاء دالة `store()` ضمن `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php` ، والتي تثق في `role id` المقدم من العميل لإنشاء حساب مسؤول جديد بكلمة مرور مختارة. يتيح ذلك للمهاجم الوصول الكامل إلى بيانات العملاء والطلبات والإعدادات وإدارة المستخدمين. في الإصدارات التجريبية 3.x، على الرغم من استبعاد SVG، لا تزال ملفات المنتجات القابلة للتنفيذ مسموحًا بها.