Xcatolin

توجد مشكلة تعيين جماعي في واجهة برمجة تطبيقات استعلام OnsiteDocument الخاصة ببوابة المريض. تسمح هذه الثغرة للمستخدمين المصرح لهم بتعيين عوامل تصفية معايير bitwise من خلال معاملات الطلب، والتي يتم وضعها بدون علامات اقتباس في جملة SQL WHERE. يمكن للمهاجم تنفيذ حقن SQL باستخدام معاملات مثل `Id BitwiseAnd` لقراءة أي جدول في قاعدة البيانات، بما في ذلك سجلات المرضى الآخرين وملفات تعريف كلمات مرور الموظفين.

توجد ثغرة تسمح للمهاجمين غير المصرح لهم بجعل الخادم يرسل طلبات HTTP عن طريق تسجيل عميل OAuth2 باستخدام `jwks uri` غير مُتحقق منه. يمكن تفعيل ذلك عبر نقطة نهاية فحص الرمز (token introspection endpoint) باستخدام `client assertion` غير موقع، مما يسمح بفحص الخدمات الداخلية والوصول إلى نقاط نهاية بيانات cloud metadata. تزوير الطلبات من جهة الخادم (Server-side request forgery) هو خلل يتم فيه خداع الخادم لإرسال طلبات إلى موقع غير مقصود.