Philipphil

توجد ثغرة حقن SQL في الملف `base-user.cte.utils.ts`. يقوم البرنامج بدمج عناوين البريد الإلكتروني للأعضاء الأساسيين مباشرة في نص SQL الخاص بالاستعلامات المستخدمة لحل حقول المستخدم، أو المنشئ، أو آخر من قام بالتعديل. يمكن للمستخدم المسجل استغلال ذلك عن طريق تعيين عنوان بريد إلكتروني يحتوي الجزء المحلي منه على علامة اقتباس مفردة، مما يسمح بتنفيذ استعلامات SQL عشوائية. قد يؤدي ذلك إلى كشف سجلات المستخدمين، ورموز API، وبيانات اعتماد مصدر البيانات.

توجد ثغرة cross-site scripting مخزنة تسمح لمرضى البوابة بتنفيذ JavaScript في جلسات الموظفين. يحدث هذا عن طريق حقن URLs من نوع `javascript:` في `template data`. يمكن للمهاجم إرسال قيمة `encounterForm` يتم عرضها دون تنقية في `src` الخاص بـ iframe بواسطة الدالة `DocumentTemplateRender()`. يسمح هذا للسكربت بقراءة معلومات صحية محمية (PHI) ورموز CSRF، واستدعاء نقاط نهاية (endpoints) خاصة بالموظفين أو المسؤولين.

يوجد خلل في التصريح في نقطة النهاية 'diagnosis full.php'. يمكن للمستخدمين المصرح لهم التلاعب بالمعلمة `id` لحذف أو مسح سجلات الفوترة الخاصة بمرضى آخرين، مما يؤدي إلى إلغاء تفعيل الرسوم وفساد البيانات المالية.

يؤدي غياب آليات تحديد معدل الطلبات (rate limiting) أو الحظر عند إرسال كلمة المرور لمرة واحدة والمحددة زمنياً (TOTP) إلى السماح للمهاجم الذي يمتلك كلمة مرور صالحة بتنفيذ هجوم القوة الغاشمة (brute-force) على رمز المصادقة متعددة العوامل (MFA) المكون من 6 أرقام. يمكن تحقيق ذلك عن طريق برمجة طلبات POST متكررة إلى نقطة النهاية 'main screen.php' أو من خلال تدفق تفويض OAuth2 عبر إعادة إرسال بيانات الاعتماد المخفية لتجاوز المصادقة الثنائية.

يحتوي نموذج Carecoordination على مشكلة مرجع كائن مباشر غير آمن (IDOR). يسمح هذا للمستخدمين المصرح لهم الذين لديهم إذن `send to hie` بالوصول إلى مستندات CCDA أو CCR أو QRDA لأي مريض. من خلال تقديم معرفات مستندات أو مرضى عشوائية، يمكن للمهاجم تنزيل سجلات الصحة الخاصة بالمرضى أو نقلها أو تصديرها، وحقن بيانات سريرية مزيفة، وحذف سجلات التدقيق.

يمكن لمستخدمي التقارير المصرح لهم التلاعب باستعلامات قاعدة البيانات من خلال تقديم قيمة مصممة خصيصاً للمتغير `form facility` في نقطة النهاية 'interface/reports/ippf statistics.php'. يسمح هذا للمهاجمين بتجاوز السلسلة النصية في جملة WHERE الخاصة بـ `facility id` واستخدام حمولات تعتمد على القيم المنطقية أو الوقت لقراءة محتويات حساسة من قاعدة البيانات.

توجد ثغرة في ميزة `allowFrom` تتيح تجاوز إجراءات التفويض، وهي مرتبطة بأسماء العرض القابلة للتعديل. وهذا يسمح للمهاجمين الذين يتمتعون بوصول ذي مستوى ثقة أقل بتنفيذ إجراءات تتطلب تفويضًا أقوى، من خلال استغلال الطريقة التي تتعامل بها الميزة مع هذه الأسماء القابلة للتعديل.