CVE-2026-47659
Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-22
Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
07/08/2026
Última modificación:
23/10/2026
Descripción
Pathling es un conjunto de herramientas que facilitan el uso de FHIR y la terminología clínica en el análisis de datos de salud. Antes de la versión 2.0.0 de Pathling Server, el punto final ’/$result’ de Pathling permite a un llamador que puede obtener cualquier ID de trabajo de exportación asíncrona válido proporcionar valores de parámetro ’file’ que contengan secuencias de salto de ruta. El gestor verifica solo el ’job’ proporcionado y nunca normaliza ni confina la ruta del ’file’ solicitada al directorio ’jobs/[jobId]’ de ese trabajo antes de abrirlo como un recurso del sistema de archivos. Debido a que el espacio de trabajo temporal de exportación asíncrona reside bajo la misma raíz de la base de datos del almacén que las tablas de recursos persistentes, un atacante puede usar su propio trabajo de exportación para leer otros archivos del almacén. Esto se soluciona en Pathling Server 2.0.0. El gestor ’$result’ ahora resuelve y canoniza la ruta del archivo solicitada y rechaza cualquier solicitud que escape del directorio ’jobs/[jobId]’ del trabajo. Como mitigación provisional, deshabilite las operaciones de exportación asíncrona (’pathling.operations.exportEnabled’, ’patientExportEnabled’, ’groupExportEnabled’, ’bulkSubmitEnabled’) o habilite la autenticación y restrinja la capacidad de exportación a llamadores de confianza.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA