PT-2026-115276 · Openhealthforall · Openhealth
CVSS v3.1
7.7
عالية
| المتجه | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L |
اسم البرنامج المصاب والإصدارات المتأثرة
OpenHealth الإصدارات السابقة لـ 0.2.1
Description
يؤدي فقدان المصادقة والتفويض في معالجات GET و PATCH و DELETE الخاصة بالنقطة النهائية '/api/health-data/[id]' إلى السماح للمهاجمين غير المصرح لهم بالوصول إلى السجلات الطبية. من خلال معرفة
id سجل HealthData، يمكن للمهاجم قراءة بيانات السجل الطبي لبيانات مستخدم آخر والبيانات الوصفية للملفات، أو الكتابة فوقها باستخدام JSON تعسفي، أو حذف السجل. يحدث هذا لأن النظام يستعلم عن السجلات بواسطة id دون إجراء فحوصات للجلسة أو authorId.Recommendations
تحديث OpenHealth إلى الإصدار 0.2.1 أو أحدث.
كإجراء مؤقت، قم بتقييد الوصول إلى النقطة النهائية '/api/health-data/[id]' لتقليل مخاطر الاستغلال.
إصلاح
Missing Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Openhealth