Mklkcdg

يوجد خلل في المرجع المباشر غير الآمن للكائنات في دالة `Update()` ضمن `OnsitePortalActivityController`. يقوم النظام بالتحقق من `patientId` الوارد في الطلب بدلاً من التحقق من المالك الفعلي للسجل المخزن. يمكن للمرضى الموثقين في البوابة استغلال ذلك عن طريق إرسال طلبات PUT إلى نقطة نهاية واجهة برمجة التطبيقات 'onsiteportalactivity' باستخدام معرف نشاط مريض آخر و `patientId` الخاص بهم. يتيح ذلك للمهاجم الكشف عن بيانات `tableArgs` وبيانات checksum، وتعديل السرد والحالة، والاستيلاء على ملكية السجل.

يوجد تجاوز لصلاحيات التفويض في تنفيذ SMART on FHIR. تحدث هذه المشكلة لأن الدالة `checkUserHasAccessToPatient()` في ملف `BearerTokenAuthorizationStrategy.php` تعيد القيمة true بشكل غير مشروط. يسمح هذا للمستخدمين المصرح لهم أو تطبيقات SMART الخبيثة بالتلاعب بسياق إطلاق الرمز لربط الطلبات بـ `UUIDs` عشوائية للمرضى، مما يؤدي إلى وصول غير مصرح به للقراءة والكتابة لموارد FHIR الخاصة بمرضى آخرين.

يفشل التطبيق في التحقق من رموز CSRF للعمليات التي تغير الحالة والتي يتم تنفيذها عبر طلبات GET في نقطة النهاية 'interface/patient file/pos checkout ippf.php'. وتحديداً، فإن فحص سلامة `form checksum` مشروط ويتم تخطيه عند حذف المعلمة، مما يسمح لطلب عبر المواقع بإجبار مستخدم فوترة مصرح له على تنفيذ عمليات `void` و `voidall` و `regen`. يمكن أن تؤدي هذه التغييرات إلى إلغاء عمليات الدفع أو إعادة توليد عدادات الفواتير، مما قد يؤثر على حالة دفتر الأستاذ والتقارير المالية وسجلات التدقيق.

The ` errorMessage()` function in `classes/gui.class.php` uses `strip tags` to allow anchor elements in error, information, and warning messages. However, it fails to filter unsafe `href` values and `onclick` event handlers. An attacker can provide malicious search or input data that bypasses the filter using a `javascript:` URI or event handler. When a user views or interacts with the rendered anchor, JavaScript is executed in their browser session, which can lead to session exposure or unauthorized application actions.

An issue exists where the file 'admin/sources/products.index.inc.php' reads rich-text fields from the `$GLOBALS['RAW']['POST']` variable and only removes script elements before storing and rendering them via Smarty templates. An administrator with product-editing privileges can bypass this filter by using event-handler attributes, SVG content, or javascript: URIs. This leads to persistent JavaScript execution when a storefront visitor or another administrator views the product content, potentially resulting in session exposure or unauthorized actions within the browser context.

An issue exists in the `admin/sources/maintenance.index.inc.php` endpoint where administrator-controlled tablename values are inserted into ALTER TABLE, CHECK TABLE, and ANALYZE TABLE statements without proper validation of identifiers or escaping of embedded backticks. An authenticated administrator can terminate the quoted identifier using a closing backtick to inject structural SQL, which may compromise the confidentiality, integrity, and availability of the database within the application's privileges.

An issue exists in the ecommerce software where the endpoint 'admin/sources/settings.index.inc.php' directly concatenates the `download expire` POST parameter into a raw UPDATE statement for CubeCart downloads without numeric validation. An authenticated administrator can provide a comma-delimited value to alter the SET clause, as HTML sanitization does not neutralize SQL syntax. This allows for the manipulation of database columns and other data accessible within the application's database privileges through SQL Injection, a technique where malicious SQL statements are inserted into entry fields for execution.

An authorization bypass exists in the GDPR tools located in the `admin/sources/customers.gdpr.inc.php` file. The system relies on page-level `CC PERM READ` access and fails to require `CC PERM DELETE` for the `purge`, `no order purge`, and `delete guests` commands. Consequently, an authenticated administrator with only read-only customer privileges can directly invoke these backend actions to bypass interface restrictions and irreversibly delete customer records, accounts without orders, or guest accounts, which compromises data integrity and availability.

Cross-Site Request Forgery (CSRF) occurs when an application allows a user to perform actions without verifying that the request was intentionally initiated by the user. In the file `admin/sources/orders.index.inc.php`, the `reset id` download-counter action and `delete card` stored-payment-card action use state-changing GET requests and are missing from the protection map in `admin/skins/default/csrf.inc.php`. A remote attacker can trick an authenticated administrator into executing these requests without a validated session token, leading to the unauthorized reset of electronic download usage counters or the deletion of stored customer payment-card tokens.

An authenticated administrator without order modification privileges can delete order-history notes, which removes operational records and audit-trail data. This occurs because the delete-note handler in the 'admin/sources/orders.index.inc.php' endpoint only verifies the presence of the `order id` and `delete-note` parameters and does not require the `CC PERM DELETE` permission for orders.