Raysabee

Existe uma falha de bypass de autorização nos endpoints de leitura por ID em `src/main/kotlin/nl/info/zac/app/zaak/ZaakRestService.kt` porque eles omitem a verificação `assertPolicy`(`policyService.readZaakRechten(zaak).lezen`). Embora o `RequestAuthorizationFilter` e o `hasAnyApplicationRole` verifiquem um papel de aplicação geral, eles não validam o tipo de caso específico, e a política `zaak-rechten.rego` não é invocada para impor o limite `zaaktype allowed`. Consequentemente, um usuário municipal autenticado com baixos privilégios que possua um UUID de caso ou decisão pode acessar dados não autorizados através dos seguintes endpoints: - '/rest/zaken/besluit/zaakUuid/{uuid}' usando `listBesluitenForZaakUUID` para ler decisões, tipos, datas e toelichting de texto livre. - '/rest/zaken/besluit/{uuid}/historie' usando `listBesluitHistorie` para ler valores antigos e novos de auditoria. - '/rest/zaken/{uuid}/process-diagram' usando `downloadProcessDiagram` para ler o estado do fluxo de trabalho BPMN. - 'zaak/{uuid}/afzender' usando `listAfzendersVoorZaak` para expor a configuração da caixa de correio do zaaktype.

Existe um problema onde um token de API de não-superusuário com acesso de leitura a um único ObjectType pode acessar o registro versionado completo de objetos pertencentes a qualquer outro ObjectType. Isso ocorre através do endpoint `GET /api/v2/objects/{uuid}/{index}`. A ação `history detail` em `src/objects/api/v2/views.py` ignora verificações de permissão necessárias ao chamar `self.get queryset()` e `get object or 404` em vez de `self.get object()`, o que impede a execução de `check object permissions` e da verificação `ObjectTypeBasedPermission.has object permission`. Consequentemente, os `data` de objetos versionados, que podem incluir registros sensíveis de cidadãos ou casos, podem ser expostos.

OpenMRS module bahmnicore contains Core OpenMRS modules for Bahmni (including ERP & ELIS Atom Feed Clients). In version 0.93, an attacker with authenticated access could potentially exfiltrate sensitive data from the database. This issue has been patched in version 0.93.1.

OpenMRS module bahmnicore contains Core OpenMRS modules for Bahmni (including ERP & ELIS Atom Feed Clients). In version 0.93, there is insufficient validation of input paths during the admin CSV import process, allowing for potential arbitrary file write. This issue has been patched in version 0.93.1.

o mcp-pinot é um servidor Model Context Protocol (MCP) baseado em Python para interação com o Apache Pinot. O software, por padrão, executa um servidor MCP HTTP vinculado a 0.0.0.0:8080 sem autenticação habilitada. Isso permite que qualquer chamador adjacente à rede acesse todas as ferramentas MCP, incluindo a execução de consultas SQL, criação de esquemas e mutação de configuração de tabela. O servidor encaminha essas solicitações usando credenciais do Pinot do lado do servidor, produzindo uma condição de confused-deputy (onde uma entidade privilegiada é enganada para realizar ações em nome de um usuário não autorizado), resultando em acesso total de leitura e gravação ao cluster Pinot configurado.