PT-2026-57345

CVE-2026-59979

تاريخ النشر

2026-07-10

تاريخ التحديث

2026-10-28

الوصف من

CVSS 3.1

8.3

عالية

المقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H

اسم البرنامج المصاب والإصدارات المتأثرة YosemiteCrew (إصدارات متأثرة غير محددة)

Description يوجد خلل من نوع المرجع المباشر غير الآمن للكائنات (IDOR) حيث تغفل مسارات الخدمة ومكتبة/قوالب مهام PMS عن التحقق من المؤسسة والأذونات. تقوم الدالة authorizeCognito في apps/backend/src/middlewares/auth.ts بتعيين معرف المستخدم المصادق عليه ولكنها تفشل في تنفيذ تحققات withOrgPermissions() و requirePermission(...). نتيجة لذلك، يمكن لأي مستخدم مسجل، بما في ذلك حسابات المرضى أو التطبيقات المرافقة، تعديل أو حذف كتالوجات الخدمات وبيانات مكتبة/قوالب مهام PMS الخاصة بمؤسسات أخرى، مما يؤثر على الحجوزات والفواتير. بالإضافة إلى ذلك، يمكن قراءة سجلات الخدمة دون أي مصادقة. تحدث المشكلة لأن الدالة ServiceModel.findById(oid) في apps/backend/src/services/service.service.ts يتم استدعاؤها بدون تصفية organisationId. تشمل نقاط النهاية المتأثرة ما يلي:

GET /fhir/v1/service/:id (بدون مصادقة)
PATCH /fhir/v1/service/:id (مصادقة فقط)
DELETE /fhir/v1/service/:id (مصادقة فقط)
PUT /v1/task/pms/library/:libraryId (بدون فرض قيود المؤسسة/الدور)
POST /v1/task/pms/templates (بدون فرض قيود المؤسسة/الدور)
PATCH /v1/task/pms/templates/:templateId (بدون فرض قيود المؤسسة/الدور)
DELETE /v1/task/pms/templates/:templateId (بدون فرض قيود المؤسسة/الدور)