Luuhung1217

Uma falha de autorização existe no endpoint 'library/ajax/upload.php'. Este problema permite que qualquer usuário autenticado leia e sobrescreva dados de documentos ao fornecer um `doc id` arbitrário. Usuários com baixos privilégios podem utilizar as ações de busca (fetch) e salvamento (save) para enumerar valores de `doc id`, levando à divulgação de informações de saúde de pacientes e à modificação não autorizada de registros médicos de todos os pacientes.

Existe uma referência direta insegura a objetos na função `OnsiteDocumentController::Query()`. Pacientes autenticados no portal podem ignorar a guarda de autorização ao fornecer um parâmetro `Pid` capitalizado. Ao enviar uma requisição para o endpoint 'api/onsitedocuments' com a variável `Pid` definida como o identificador de outro paciente, um invasor pode sobrescrever os critérios fixados na sessão para acessar e ler documentos locais contendo Informações de Saúde Protegidas (PHI) de outros pacientes.

Existe um problema no endpoint 'library/ajax/payment ajax.php' onde o sistema valida um token CSRF, mas não realiza uma verificação de autorização AclMain antes de executar uma pesquisa wildcard em patient data. Isso permite que qualquer usuário autenticado, incluindo aqueles com funções não clínicas, enumere identificadores de pacientes, nomes completos e datas de nascimento através do ramo `set patient`.

A ação `search persons` no endpoint 'library/ajax/person search ajax.php' não realiza uma verificação de autorização AclMain, embora valide o CSRF (Cross-Site Request Forgery, um tipo de ataque que força um usuário autenticado a executar ações indesejadas). Isso permite que um usuário autenticado com baixos privilégios itere prefixos de nomes e recupere informações sensíveis de pacientes, incluindo nomes e sobrenomes, datas de nascimento, gênero, números de telefone e endereços de e-mail, por meio de respostas JSON.

Funcionários do back-office autenticados com permissões de upload de conteúdo podem armazenar mídia executável na origem do administrador. Na implementação 2.x, permissões como `edit products` ou `add brands` permitem o upload de `image/svg+xml` via `packages/admin/config/media.php`. Além disso, a coleção de arquivos de produtos em `packages/admin/src/Livewire/Components/Products/Form/Files.php` não possui restrições de MIME e aceita `text/html`. Como a mídia é servida inline do diretório `/storage/` sem uma `Content-Security-Policy` ou `Content-Disposition: attachment`, a abertura desses arquivos executa scripts armazenados na sessão do administrador. Na versão 2.x, isso pode ser usado para chamar a função `store()` em `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`, que confia no `role id` fornecido pelo cliente para criar uma nova conta de administrador com uma senha escolhida. Isso permite que um invasor obtenha acesso total aos dados dos clientes, pedidos, configurações e gerenciamento de usuários. Nas pré-versões 3.x, embora o SVG seja excluído, arquivos de produtos executáveis ainda são permitidos.