Tike00

يوجد خلل في التفويض في تنفيذ FHIR حيث تتجاوز بعض مسارات القراءة فحوصات قائمة التحكم في الوصول (ACL). يسمح هذا للمستخدمين الذين لديهم رموز API لغير المرضى والتي تفتقر إلى ACLs الخاصة بـ OpenEMR بطلب الموارد باستخدام `uuid` ، مما يتجاوز تصفية المقصورات. وبناءً على ذلك، يمكن للمهاجم قراءة مستندات واستجابات الاستبيانات الخاصة بأي مريض عبر نقاط النهاية '/FHIR Media/:uuid' و '/QuestionnaireResponse'.

يوجد تجاوز لصلاحيات المصادقة لأن `FhirQuestionnaireResponseService` لا يطبق `IPatientCompartmentResourceService`. يسمح هذا للمستخدمين الذين لديهم رموز SMART بنطاق المريض بالوصول إلى استجابات الاستبيان الخاصة بمرضى آخرين. يمكن للمهاجم الذي يمتلك رمز `patient/QuestionnaireResponse.rs` طلب استجابات محددة بواسطة uuid أو عرض حزمة غير مصفاة للحصول على إجابات التقييم السريري لمرضى مختلفين.