CVE-2026-55471
Açıklama
HAPI FHIR, sağlık hizmetleri birlikte çalışabilirliği için HL7 FHIR standardının Java ile yapılmış eksiksiz bir uygulamasıdır. 6.9.10 sürümünden önce, org.hl7.fhir.utilities.XsltUtilities saxonTransform(...) aşırı yüklemeleri, ACCESS_EXTERNAL_DTD veya ACCESS_EXTERNAL_STYLESHEET kısıtlamaları olmaksızın yalın bir net.sf.saxon.TransformerFactoryImpl() örneği oluşturuyordu; bu durum, dönüştürülen XML'i kontrol eden veya üzerinde değişiklik yapabilen bir saldırganın, yerel dosya ifşası için XML External Entity enjeksiyonunu ve ana bilgisayardan erişilebilen rastgele URL'lere yönelik kör XXE veya SSRF tetiklemesini mümkün kılıyordu. Bu sorun 6.9.10 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- hapifhir hl7_fhir_core6.9.10 ya da sonraki bir sürüm
- ca.uhn.hapi.fhir:org.hl7.fhir.utilities6.9.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hapifhir hl7_fhir_core | v < 6.9.10 | 6.9.10 |
| ca.uhn.hapi.fhir:org.hl7.fhir.utilitiesMaven | v < 6.9.10 | 6.9.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.