PT-2026-41395 · Maven+2 · Com.Oviva.Telematik:Epa4All-Client+1

Chiara Fliegner + 3 · Publicado 2026-05-15 · Atualizado 2026-05-27 · CVE-2026-45574

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas epa4all-client versões anteriores a 1.2.2

Descrição Um invasor posicionado no caminho da rede entre o serviço ePA e o Konnektor pode apresentar qualquer certificado TLS, como certificados autoassinados, expirados ou com um Common Name (CN) incorreto, para interceptar todo o tráfego SOAP. Essa interceptação pode expor identificadores de pacientes (KVNR), operações de cartão SMC-B envolvendo autenticação e assinatura, conteúdo de documentos e trocas de credenciais.

Recomendações Atualize para a versão 1.2.2. Use a biblioteca diretamente em vez do wrapper REST como uma solução paliativa temporária.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

CVE-2026-45574

GHSA-5HHF-XMFX-4VVR

Produtos afetados

Com.Oviva.Telematik:Epa4All-Client

Epa4All-Client

Referências · 9

• https://github.com/oviva-ag/epa4all-client/commit/9111d6fbb939007036a7f74b2a93bb278cb5af32 · Nota
• https://github.com/oviva-ag/epa4all-client/pull/36 · Nota
• https://github.com/oviva-ag/epa4all-client · Nota
• https://github.com/oviva-ag/epa4all-client/releases/tag/v1.2.2 · Nota
• https://github.com/oviva-ag/epa4all-client/security/advisories/GHSA-5hhf-xmfx-4vvr · Nota
• https://reddit.com/r/VulnMatter/comments/1tgqoye/resumen_diario_de_vulnerabilidades_18052026 · Publicação no Reddit
• https://t.me/CVEtracker/55038 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-45574 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5hhf-xmfx-4vvr · Aviso do Fabricante