CVE-2026-45367— hapifhir org.hl7.fhir.core 资源管理错误漏洞
Possible ATT&CK Techniques 1AI
T1499 · Endpoint Denial of ServiceAffected Version Matrix 1
| ベンダー | プロダクト | Version Range | ステータス |
|---|---|---|---|
| hapifhir | org.hl7.fhir.core | < 6.9.7 | affected |
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-45367の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
HAPI FHIR: ReDoS via FHIRPath matches()/replaceMatches() in FHIR Validator HTTP Endpoint
ソース: NVD (National Vulnerability Database)
脆弱性説明
HAPI FHIR is a complete implementation of the HL7 FHIR standard for healthcare interoperability in Java. Prior to 6.9.7, the FHIRPathEngine implementation passes user-controlled regular expressions from matches(), matchesFull(), and replaceMatches() to Java regex operations without effective timeouts, allowing catastrophic backtracking and denial of service. This issue is fixed in version 6.9.7.
ソース: NVD (National Vulnerability Database)
CVSS情報
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
CWE-1333
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
hapifhir org.hl7.fhir.core 资源管理错误漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
hapifhir org.hl7.fhir.core是hapifhir组织的一款用于处理医疗健康信息交换标准的开发框架。 hapifhir org.hl7.fhir.core 6.9.7之前版本存在资源管理错误漏洞，该漏洞源于FHIRPathEngine实现将用户控制的正则表达式传递给Java正则表达式操作时未设置有效超时，可能导致灾难性回溯和拒绝服务。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| hapifhir | org.hl7.fhir.core | < 6.9.7 | - |
II. CVE-2026-45367の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
Qwen3.6-35B-A3B · 6130 文字数
Pro+限定の内容：
脆弱性再現の録画（実際のサンドボックス構築 + トリガー、限定）
脆弱性の原理を深く分析
トリガー条件と影響範囲
完全な実行可能POCコード
攻撃チェーンと緩和策の提案
POCパッケージのダウンロード
月間100件以上のAI生成枠
III. CVE-2026-45367のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-45367 补丁与修复 (3)
CVE-2026-45367 厂商安全公告 (1)
IV. 関連脆弱性
同じ製品: org.hl7.fhir.core
- CVE-2026-49485
HAPI FHIR: ReDoS via FHIRPath matches()/replaceMatches() in - CVE-2026-55471
HAPI FHIR: XXE in XsltUtilities.saxonTransform via unhardene - CVE-2026-55470
HAPI FHIR: DSTU2 FHIRPathEngine.matches() missing RegexTimeo - CVE-2026-34361
HAPI FHIR: Unauthenticated SSRF via /loadIG Chains with star - CVE-2026-34360
HAPI FHIR: Unauthenticated Blind SSRF via /loadIG Endpoint E
同じベンダー: hapifhir
- CVE-2026-49485
HAPI FHIR: ReDoS via FHIRPath matches()/replaceMatches() in - CVE-2026-55471
HAPI FHIR: XXE in XsltUtilities.saxonTransform via unhardene - CVE-2026-55470
HAPI FHIR: DSTU2 FHIRPathEngine.matches() missing RegexTimeo - CVE-2026-34361
HAPI FHIR: Unauthenticated SSRF via /loadIG Chains with star - CVE-2026-34360
HAPI FHIR: Unauthenticated Blind SSRF via /loadIG Endpoint E
同じ弱点: CWE-1333
- CVE-2026-49485
HAPI FHIR: ReDoS via FHIRPath matches()/replaceMatches() in - CVE-2026-52746
JSONata: Malicious inputs to "$toMillis" function can cause - CVE-2026-14741
HTTP::Date versions before 6.08 for Perl allow CPU exhaustio - CVE-2026-62237
Grav < 2.0.4 ReDoS via regex_replace in Sandbox - CVE-2026-48801
linkify-it: Quadratic algorithmic complexity in LinkifyIt#ma
V. CVE-2026-45367へのコメント
まだコメントはありません