CVE-2026-47664

Nome do Software Vulnerável e Versões Afetadas Pathling Server versões anteriores a 2.0.0

Description A operação $import-pnp aceita um exportUrl fornecido pelo chamador e o utiliza como o endpoint remoto de Exportação em Massa FHIR sem restringi-lo a uma fonte confiável. Quando as credenciais PNP estão configuradas, o sistema constrói um cliente de exportação em massa com credenciais direcionado ao host escolhido pelo chamador, baixa arquivos selecionados pelo manifesto e reclassifica esses arquivos temporários como importações locais file:// confiáveis. Este processo ignora a lista de permissões allowableSources que protege a operação $import comum.

Recommendations Atualize para a versão 2.0.0. Desative a operação $import-pnp definindo pathling.operations.importPnpEnabled=false. Não configure credenciais PNP.