Gracia-Gu

Existe um problema de cross-site scripting armazenado que permite que pacientes do portal executem JavaScript em sessões de funcionários. Isso ocorre ao injetar URLs `javascript:` em `template data`. Um invasor pode enviar um valor `encounterForm` que é renderizado sem sanitização em um `src` de iframe pela função `DocumentTemplateRender()`. Isso permite que o script acesse Informações de Saúde Protegidas (PHI) e tokens CSRF, além de realizar chamadas para endpoints de funcionários ou administradores.

Uma falha de autorização existe no endpoint 'diagnosis full.php'. Usuários autenticados podem manipular o parâmetro `id` para excluir ou limpar registros de faturamento pertencentes a outros pacientes, levando à desativação de cobranças e corrupção de dados financeiros.

A ausência de mecanismos de limitação de taxa (rate limiting) ou bloqueio no envio de Senhas Únicas Temporárias (TOTP) permite que um invasor com uma senha válida realize força bruta no código de autenticação de múltiplos fatores (MFA) de 6 dígitos. Isso pode ser feito através de scripts de requisições POST repetidas para o endpoint 'main screen.php' ou por meio do fluxo de autorização OAuth2 com o reenvio de credenciais ocultas para ignorar a autenticação de dois fatores.

O módulo Carecoordination contém um problema de referência direta a objeto insegura (IDOR). Isso permite que usuários autenticados com a permissão `send to hie` acessem documentos CCDA, CCR ou QRDA de qualquer paciente. Ao fornecer IDs de documentos ou de pacientes arbitrários, um invasor pode baixar, transmitir ou exportar registros de saúde de pacientes, injetar dados clínicos falsificados e excluir registros de auditoria.

Usuários de relatórios autenticados podem manipular consultas ao banco de dados fornecendo um valor especialmente criado para a variável `form facility` no endpoint 'interface/reports/ippf statistics.php'. Isso permite que invasores ignorem a literal de string na cláusula WHERE do `facility id` e utilizem payloads baseados em booleano ou tempo para extrair informações sensíveis do banco de dados.

Existe uma falha de bypass de autorização no recurso `allowFrom`, que se vincula a nomes de exibição mutáveis. Isso permite que invasores com acesso de menor confiança realizem ações que exigem autorização mais forte, explorando a maneira como o recurso lida com esses nomes mutáveis.