Nora-Qiu

يحتوي نموذج Carecoordination على مشكلة مرجع كائن مباشر غير آمن (IDOR). يسمح هذا للمستخدمين المصرح لهم الذين لديهم إذن `send to hie` بالوصول إلى مستندات CCDA أو CCR أو QRDA لأي مريض. من خلال تقديم معرفات مستندات أو مرضى عشوائية، يمكن للمهاجم تنزيل سجلات الصحة الخاصة بالمرضى أو نقلها أو تصديرها، وحقن بيانات سريرية مزيفة، وحذف سجلات التدقيق.

يسمح خلل في التفويض للمستخدمين المصرح لهم بصلاحيات منخفضة بالوصول إلى نقاط نهاية محددة تفتقر إلى فحوصات `AclMain::aclCheckCore()`. يتيح ذلك الوصول غير المصرح به إلى التقارير والتذكيرات المؤرخة ووظائف التذكير بالدفعة. من خلال طلب نقاط النهاية 'patient list.php' أو 'amc full report.php' أو 'dated reminders add.php' أو 'batch reminders.php' مباشرة، يمكن للمهاجم تصدير معلومات صحية محمية (PHI) للمرضى، أو إرسال تذكيرات غير مصرح بها، أو تشغيل معالجة التذكير بالدفعة.

تفتقر العديد من البرامج النصية داخل دليل custom إلى فحوصات تفويض مناسبة لأنها تعتمد فقط على مصادقة الجلسة ولا تستدعي الدالة `AclMain::aclCheckCore()`. يسمح هذا لأي مستخدم مصادق عليه بصلاحيات منخفضة بالوصول إلى نقاط النهاية 'export labworks.php' و 'chart tracker.php' و 'export registry xml.php'. يمكن أن يؤدي استغلال ذلك إلى الكشف عن معلومات حساسة، بما في ذلك أرقام الضمان الاجتماعي (SSN) للمرضى، وتواريخ الميلاد (DOB)، وبيانات التأمين، ومعرفات المزودين الوطنية (NPI) أو المعرفات الضريبية، بالإضافة إلى القدرة على تزوير سجلات تتبع المخططات (chart-tracker).

يوجد خلل في التصريح في نقطة النهاية 'library/ajax/user settings.php'. يسمح هذا الخلل لأي مستخدم مصرح له بتثبيت تجاوزات تكوين عالمية تعسفية عن طريق إرسال طلبات POST بمفاتيح تبدأ بـ `global:`. يمكن استخدام ذلك لإعادة توجيه مضيفات الخدمات الخارجية، مثل CouchDB أو eRx أو phiMail أو SMTP، إلى خوادم يسيطر عليها المهاجم، مما يؤدي إلى تسريب بيانات اعتماد النظام ومعلومات الصحة المحمية (PHI) الخاصة بالمرضى.

يمكن للمستخدمين المصرح لهم استغلال ثغرات متعددة من نوع حقن SQL عن طريق حقن حمولات من خلال ERA CLP01، و`form facility`، و`form icd codes` وأسماء مفاتيح POST. يسمح هذا باستخدام تقنيات حقن UNION، والحقن الأعمى (blind)، والحقن القائم على الخطأ لقراءة هاشات كلمات المرور من `users secure` والمعلومات الصحية المحمية (PHI) للمرضى، بالإضافة إلى الكتابة فوق حقول `patient data`.

يمكن للمرضى الذين يمتلكون صلاحيات وصول إجبار الخادم على إجراء طلبات تزوير طلبات الخادم (SSRF)، وهي ثغرة يتم من خلالها إجبار الخادم على إجراء طلبات غير مصرح بها. من خلال إرسال `img src` أو `url()` في التنسيق المضمن أو كتل تنسيق غير منقاة عبر المعلمة `content` في endpoint 'portal/lib/doc lib.php'، يمكن للمهاجم إجبار الخادم على إصدار طلبات HTTP GET. يمكن استخدام ذلك لفحص المنافذ الداخلية ونقاط نهاية بيانات cloud الوصفية عبر الدالة `createPdfObject()`.

توجد ثغرة حقن SQL في نقطة النهاية 'api/onsiteactivityviews' لبوابة المريض. يمكن لمستخدمي الموظفين المصرح لهم حقن أوامر SQL من خلال قيم معايير `Id BitwiseAnd` غير المقتبسة. ومن خلال إغلاق قوس العملية الثنائية (bitwise parenthesis) وإضافة عبارات OR أو UNION SELECT، يمكن للمهاجمين الوصول إلى المعلومات الصحية المحمية (PHI) للمرضى، وتجزئات كلمات مرور الموظفين، وسلاسل مصادقة MySQL، ورموز API.

يسمح خلل في التفويض للمستخدمين المصرح لهم بإنشاء سجلات المرضى وتعداد بيانات المرضى من خلال تجاوز فحوصات `aclCheckCore()`. يمكن استغلال ذلك عن طريق إرسال طلبات POST إلى نقطة النهاية 'new comprehensive save.php' لإنشاء مرضى يتضمنون معلومات صحية محمية (PHI) خاصة بالتأمين، أو الاستعلام عن نقاط النهاية 'new search popup.php' و 'patient select.php' لتسريب بيانات حساسة مثل الأسماء وأرقام الضمان الاجتماعي (SSNs) وتواريخ الميلاد (DOBs).

توجد مشكلة في دالة `processEnhancedFormSave()` ضمن ObservationController حيث تسمح القائمة السوداء غير المكتملة للحقول للمستخدمين المصرح لهم بصلاحيات منخفضة بإجراء تعيين جماعي (mass assignment). من خلال إرسال `authorized=1` أو تجاوز حقل `id` جنبًا إلى جنب مع `observation id` يمكن للمهاجم تمييز الملاحظات على أنها موقعة من قبل المزود أو الكتابة فوق الحقول السريرية لملاحظات أخرى ضمن نفس زيارة المريض.

يوجد خلل في الملف `src/Common/Auth/OneTimeAuth.php` حيث يتجاهل النظام أعلام `enforce onetime use` و `max access count`. بالإضافة إلى ذلك، يفشل النظام في إلغاء رموز `service auth` المستخدمة ويقوم بفحص `login pin` دون تحديد معدل المحاولات أو إجراء مقارنة صارمة. يسمح هذا للمهاجم الذي يمتلك رمزًا تم التقاطه بإعادة استخدامه أو تنفيذ هجوم القوة الغاشمة على رمز PIN لفتح جلسات بوابة المريض، مما يؤدي إلى كشف معلومات صحية محمية (PHI).

A path traversal issue exists in the Supabase node where the `tableId` parameter is inserted into request paths without proper validation. This allows attackers to exploit workflows that bind `tableId` to untrusted input to access Auth and Storage APIs using the administrative `serviceRole` key. This action bypasses Row Level Security (RLS), which is a security feature that restricts which rows of data a user can see or modify, leading to unauthorized data access and modification.