CVE-2026-47663

Pathling, sağlık veri analitiği kapsamında FHIR ve klinik terminolojinin kullanımını kolaylaştıran bir araç setidir. Pathling Server sürüm 2.0.0 öncesinde, Pathling'in tipli CRUD/search/batch FHIR yüzeyi, yalnızca kaba işlem yetkilerine sahip kimliği doğrulanmış bir çağırıcının, saldırgan tarafından seçilen kaynak aileleri üzerinde işlem yapmasına izin verir; çünkü bu giriş noktaları belgelenmiş kaynak bazlı `read` ve `write` yetkilerini tutarlı bir şekilde zorunlu kılmaz. Belgelenmiş yetkilendirme modeli, bir işlem yetkisinin (örneğin `pathling:search`), eşleşen kaynak bazlı `read` veya `write` yetkisiyle (örneğin `pathling:read:Patient`) eşleştirilmesini gerektirir. Delete ve batch işlemlerinin, referans verilen tüm kaynak türleri için yazma yetkisi gerektirdiği belgelenmiştir. Ancak, tipli arama, güncelleme ve ilgili işleyiciler yalnızca `@OperationAccess(...)` ile işaretlenmiştir ve karşılık gelen kaynak bazlı yetkiyi kontrol etmeden sağlayıcı tarafından seçilen kaynak türü üzerinde işlem yapar. Bu durum Pathling Server 2.0.0 sürümünde düzeltilmiştir.