Mcspicyenjoyer

تسمح عيوب في توحيد ومعالجة نطاق OAuth للمهاجمين غير المصرح لهم بالحصول على وصول غير مصرح به إلى FHIR (Fast Healthcare Interoperability Resources) على مستوى النظام. من خلال تسجيل عميل بنطاق `system:Patient.read` بصيغة النقطتين الرأسيتين، يمكن للمهاجم تجاوز عمليات الموافقة، ثم طلب نطاق `system/Patient.write` غير المسجل لقراءة سجلات المرضى وتعديلها وإنشائها.

توجد مشكلة في التصريح غير المناسب في الدالة `ScopeRepository::finalizeScopes()`. يحدث هذا لأن الدالة `ScopeEntity::containsScope()` تتجاهل الأذونات المسجلة، مما يسمح لعملاء SMART/OAuth الذين لديهم صلاحية القراءة فقط بالحصول على صلاحيات الكتابة. يمكن للمهاجم الذي لديه عميل مسجل لـ `user/<resource>.read` طلب `user/<resource>.write` لإنشاء بيانات المرضى أو المواعيد وتحديثها وحذفها.