CVE-2026-25602

Mesalvo MEONA (MEONA Client ve MEONA Server) ürününün geri bildirim fonksiyonunda Veri Özgünlüğünün Yetersiz Doğrulanması söz konusudur. MEONA Client, bir geri bildirim raporunun alıcı adresini MEONA Server'a iletir ve sunucu, raporu sunucuda yapılandırılan adres yerine iletilen adrese gönderir. Geri bildirim fonksiyonu yalnızca; ADMINISTRATOR, SUPERADMINISTRATOR veya TYPIST (katalog düzenleme) yönetici rollerinden birine ya da işletmeci hastane yöneticileri tarafından açıkça atanmış PHARMACY_ADMINISTRATOR yetkisine sahip PHARMACIST rolüne sahip kullanıcıların erişebildiği MEONA yönetim alanında kullanılabilir. İstemci isteğini değiştiren böyle bir kullanıcı, operatörün mail relay sınırları dahilinde, sunucuda yapılandırılmış gönderen adresinden, kendi seçtiği bir alıcıya, içeriğini kendisinin belirlediği bir mesajın MEONA Server tarafından gönderilmesine neden olabilir. Mesaj, dahili bir hastane sisteminden geliyormuş gibi göründüğü için sosyal mühendislik amacıyla kullanılabilir. İstismar edilmesi için yukarıda belirtilen yönetici rollerinden birine sahip bir MEONA hesabı ve işletmeci hastanenin dahili ağına erişim gereklidir; MEONA, halka açık İnternet'e maruz kalmadan yalnızca kapalı hastane ağlarında çalıştırılmaktadır ve bir hastanenin bu ağa uzaktan erişime izin verdiği durumlarda, bu erişim yalnızca hastanenin kontrolündeki kendi uzaktan erişim altyapısı (örneğin VPN) üzerinden sağlanmaktadır. Mesaj yalnızca kullanıcı tarafından girilen alıcıyı, konuyu ve metni içerir; diğer kullanıcılara veya hastalara ait hiçbir veri ifşa edilmez. Mesalvo, bildirilen güvenlik testi dışında herhangi bir istismardan haberdar değildir. Bu sorun; MEONA Client ve MEONA Server'ın 2024.10, 2025.04 (2025.04.24 öncesi) ve 2026.03 (2026.03.02 öncesi) sürümlerini etkilemektedir. MEONA 2025.04.24 ve 2026.03.02 (2026 4. çeyrekte planlanan) sürümleri, sunucudaki yapılandırılmış alıcı adresini zorunlu kılar. Operatörler, mail relay üzerinde MEONA gönderen adresinin hangi alıcılara ulaşabileceğini kısıtlayabilirler.