Mcspicyenjoyer

Falhas de canonicalização e contenção de escopo OAuth permitem que atacantes não autenticados obtenham acesso não autorizado ao FHIR (Fast Healthcare Interoperability Resources) em nível de sistema. Ao registrar um cliente com o escopo em formato de dois pontos `system:Patient.read`, um atacante pode ignorar os processos de aprovação e, posteriormente, solicitar o escopo não registrado `system/Patient.write` para ler, modificar e criar registros de pacientes.

Um problema de autorização inadequada existe na função `ScopeRepository::finalizeScopes()`. Isso ocorre porque a função `ScopeEntity::containsScope()` ignora as permissões registradas, permitindo que clientes SMART/OAuth de apenas leitura obtenham escopos de escrita. Um invasor com um cliente registrado para `user/<resource>.read` pode solicitar `user/<resource>.write` para criar, atualizar e excluir dados de pacientes ou agendamentos.