PT-2026-45843 · Medplum · Medplum

Katriel Moses + 1 · Publicado 2026-06-02 · Atualizado 2026-06-04 · CVE-2026-49120

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Medplum versões anteriores a 5.1.14

Description Um problema no worker de assinatura permite que usuários autenticados realizem requisições de rede internas não autorizadas. Ao criar recursos de Assinatura FHIR com URLs de endpoint arbitrárias, atacantes podem direcionar endpoints de assinatura para endereços internos, como serviços de metadados de instâncias de nuvem, bancos de dados internos ou endpoints de orquestração de containers. Isso pode levar à exfiltração de credenciais IAM e registros de saúde de pacientes por meio do corpo POST, que contém payloads completos de recursos FHIR. Server-Side Request Forgery (SSRF) é uma falha onde um atacante pode forçar um servidor a fazer requisições para um local não pretendido.

Recommendations Atualize para a versão 5.1.14 ou posterior.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-49120

Produtos afetados

Medplum

Referências · 7

• https://github.com/medplum/medplum/commit/87595e98d756d840d70d9dc87beb9d4f9e158b59 · Correção
• https://github.com/medplum/medplum/releases/tag/v5.1.14 · Nota
• https://github.com/medplum/medplum/pull/9334 · Nota
• https://vulncheck.com/advisories/medplum-ssrf-via-fhir-subscription-endpoint · Nota
• https://twitter.com/disismohi/status/2062416058988872148 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2061926034677600666 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-49120 · Nota de Segurança