CVE-2026-111312

Nome do Software Vulnerável e Versões Afetadas OpenHealth versões anteriores a 0.2.1

Description A ausência de autenticação e autorização nos manipuladores GET, PATCH e DELETE do endpoint '/api/health-data/[id]' permite que atacantes não autenticados acessem registros médicos. Ao conhecer o id de um registro de HealthData, um invasor pode ler dados de registros médicos e metadados de arquivos de outro usuário, sobrescrevê-los com JSON arbitrário ou excluí-los. Isso ocorre porque o sistema consulta registros por id sem realizar verificações de sessão ou de authorId.

Recommendations Atualize o OpenHealth para a versão 0.2.1 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/health-data/[id]' para minimizar o risco de exploração.