Kojiromike

Um problema de desserialização não sanitizada permite que atacantes autenticados manipulem os critérios de correspondência de pacientes. Ao fornecer um parâmetro `key` serializado malicioso para o endpoint 'interface/orders/patient match dialog.php', os atacantes podem enumerar pacientes ou forçar correspondências que associam pedidos de laboratório ao paciente incorreto. Desserialização é o processo de converter uma string serializada de volta em um objeto ou estrutura de dados.

Um problema de autorização inadequada existe na função `ScopeRepository::finalizeScopes()`. Isso ocorre porque a função `ScopeEntity::containsScope()` ignora as permissões registradas, permitindo que clientes SMART/OAuth de apenas leitura obtenham escopos de escrita. Um invasor com um cliente registrado para `user/<resource>.read` pode solicitar `user/<resource>.write` para criar, atualizar e excluir dados de pacientes ou agendamentos.

Existe uma referência direta a objeto insegura no endpoint 'portal/lib/persist.php'. Pacientes autenticados no portal podem modificar as configurações de outros pacientes ao fornecer um valor `setting patient` arbitrário. Isso permite que invasores insiram ou sobrescrevam linhas na tabela patient settings para suprimir notificações, adulterar sinalizadores de consentimento ou alterar preferências do portal.

Um problema de autorização inadequada existe no endpoint POST '/fhir/DocumentReference/$docref'. Usuários com permissões de baixo nível para dados demográficos e documentos podem fornecer um parâmetro de paciente específico para gerar e baixar o CCDA (Continuity of Care Document) do prontuário completo a partir dos Documentos do Paciente, resultando na exfiltração de dados clínicos.

Um controle de acesso quebrado no endpoint 'portal/portal payment.php' permite que usuários autenticados com baixos privilégios ignorem as verificações de Lista de Controle de Acesso (ACL) de faturamento. Ao manipular os parâmetros `pid` e `form pid`, um invasor pode visualizar páginas de pagamento e registrar recibos de pagamento fraudulentos para pacientes arbitrários, corrompendo os registros de faturamento.