CVE-2026-55470

Nome do Software Vulnerável e Versões Afetadas org.hl7.fhir.dstu2 (versões afetadas não especificadas)

Descrição Uma correção incompleta no módulo org.hl7.fhir.dstu2 permite que um invasor não autenticado cause uma Negação de Serviço por Expressão Regular (ReDoS). Enquanto outros módulos foram atualizados para incluir a proteção RegexTimeout, a função matches() no módulo DSTU2 continua a utilizar o método bruto String.matches(sw) sem tempo limite ou verificação de complexidade. Isso permite que uma expressão regular especialmente elaborada desencadeie um backtracking catastrófico, levando ao esgotamento da CPU do servidor e à interrupção do serviço. Este problema afeta aplicações que avaliam expressões FHIRPath fornecidas pelo usuário, como endpoints HTTP do Validador FHIR e servidores FHIR que aplicam invariantes FHIRPath.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.