Raysabee

يوجد تجاوز لصلاحيات التفويض في نقاط نهاية القراءة حسب المعرف (by-id) ضمن `src/main/kotlin/nl/info/zac/app/zaak/ZaakRestService.kt` بسبب إغفال التحقق من `assertPolicy`(`policyService.readZaakRechten(zaak).lezen`). بينما يقوم `RequestAuthorizationFilter` و `hasAnyApplicationRole` بالتحقق من دور عام في التطبيق، إلا أنهما لا يتحققان من نوع الحالة المحددة، ولا يتم استدعاء سياسة `zaak-rechten.rego` لفرض حدود `zaaktype allowed`. نتيجة لذلك، يمكن لمستخدم بلدي مصرح له بصلاحيات منخفضة، ويعرف معرف UUID للحالة أو القرار، الوصول إلى بيانات غير مصرح بها عبر نقاط النهاية التالية: - '/rest/zaken/besluit/zaakUuid/{uuid}' باستخدام `listBesluitenForZaakUUID` لقراءة القرارات والأنواع والتواريخ و toelichting النص الحر. - '/rest/zaken/besluit/{uuid}/historie' باستخدام `listBesluitHistorie` لقراءة قيم التدقيق القديمة والجديدة. - '/rest/zaken/{uuid}/process-diagram' باستخدام `downloadProcessDiagram` لقراءة حالة سير عمل BPMN. - 'zaak/{uuid}/afzender' باستخدام `listAfzendersVoorZaak` للكشف عن تكوين صندوق بريد zaaktype.

توجد مشكلة حيث يمكن لرمز API الخاص بمستخدم غير مسؤول لديه صلاحية القراءة لنوع كائن (ObjectType) واحد الوصول إلى السجل الكامل المحدث لكائنات تنتمي إلى أي نوع كائن آخر. يحدث هذا عبر نقطة النهاية `GET /api/v2/objects/{uuid}/{index}`. تقوم إجراء `history detail` في `src/objects/api/v2/views.py` بتجاوز فحوصات الأذونات الضرورية من خلال استدعاء `self.get queryset()` و `get object or 404` بدلاً من `self.get object()`، مما يمنع تنفيذ `check object permissions` وفحص `ObjectTypeBasedPermission.has object permission`. نتيجة لذلك، يمكن الكشف عن `data` الخاصة بالكائنات المحدثة، والتي قد تتضمن سجلات مواطنين أو قضايا حساسة.

OpenMRS module bahmnicore contains Core OpenMRS modules for Bahmni (including ERP & ELIS Atom Feed Clients). In version 0.93, an attacker with authenticated access could potentially exfiltrate sensitive data from the database. This issue has been patched in version 0.93.1.

OpenMRS module bahmnicore contains Core OpenMRS modules for Bahmni (including ERP & ELIS Atom Feed Clients). In version 0.93, there is insufficient validation of input paths during the admin CSV import process, allowing for potential arbitrary file write. This issue has been patched in version 0.93.1.

mcp-pinot هو خادم بروتوكول سياق النموذج (MCP) القائم على لغة Python للتفاعل مع Apache Pinot. يعمل البرنامج افتراضيًا على تشغيل خادم HTTP MCP مرتبط بـ 0.0.0.0:8080 دون مصادقة. وهذا يسمح لأي متصل مجاور عبر الشبكة بالوصول إلى جميع أدوات MCP، بما في ذلك تنفيذ استعلامات SQL، وإنشاء المخططات، وتغيير تكوين الجداول. يقوم الخادم بتمثيل هذه الطلبات باستخدام بيانات اعتماد Pinot من جانب الخادم، مما يؤدي إلى حالة «الوكيل المربك» (confused-deputy) — حيث يتم خداع كيان متمتع بامتيازات لتنفيذ إجراءات نيابة عن مستخدم غير مصرح له — مما ينتج عنه وصول كامل للقراءة والكتابة إلى مجموعة Pinot المُهيأة.