PT-2026-57345

CVE-2026-59979

Publicado

2026-07-10

Atualizado

2026-10-28

Descrição por

CVSS 3.1

8.3

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas YosemiteCrew (versões afetadas não especificadas)

Description Existe uma Referência Direta Insegura a Objetos (IDOR) onde as rotas de serviço e de biblioteca/modelo de tarefas PMS omitem verificações de organização e permissão. A função authorizeCognito em apps/backend/src/middlewares/auth.ts define o ID do usuário autenticado, mas não implementa as verificações withOrgPermissions() e requirePermission(...). Consequentemente, qualquer usuário registrado, incluindo contas de pacientes ou de aplicativos acompanhantes, pode modificar ou excluir catálogos de serviços e dados de biblioteca/modelo de tarefas PMS de outras organizações, afetando agendamentos e faturamento. Além disso, registros de serviço podem ser lidos sem qualquer autenticação. O problema ocorre porque a função ServiceModel.findById(oid) em apps/backend/src/services/service.service.ts é chamada sem um filtro organisationId. Os endpoints afetados incluem:

GET /fhir/v1/service/:id (sem autenticação)
PATCH /fhir/v1/service/:id (apenas autenticação)
DELETE /fhir/v1/service/:id (apenas autenticação)
PUT /v1/task/pms/library/:libraryId (sem imposição de organização/função)
POST /v1/task/pms/templates (sem imposição de organização/função)
PATCH /v1/task/pms/templates/:templateId (sem imposição de organização/função)
DELETE /v1/task/pms/templates/:templateId (sem imposição de organização/função)