CVE-2026-49485

Nome do Software Vulnerável e Versões Afetadas HAPI FHIR versões anteriores a 6.9.9 HAPI FHIR versões anteriores a 6.9.4.2

Description As implementações do FHIRPathEngine avaliam expressões FHIRPath arbitrárias sem a devida validação de entrada. As funções matches(), matchesFull() e replaceMatches() passam expressões regulares controladas pelo usuário para o Pattern.compile() e String.replaceAll() do Java por meio de um utilitário de tempo limite incompleto. Esse utilitário não consegue interromper a thread de execução após a ocorrência do tempo limite. Além disso, certas chamadas de método no FHIRPathEngine não são protegidas por esse utilitário. Um invasor pode explorar isso fornecendo uma expressão regular especialmente elaborada que desencadeia o backtracking catastrófico—uma condição em que o mecanismo de regex leva um tempo exponencial para processar uma string—resultando em exaustão de CPU e negação de serviço no endpoint HTTP do FHIR Validator e nos módulos org.hl7.fhir.* afetados.

Recommendations Atualize para a versão 6.9.9. Atualize para a versão 6.9.4.2.