HAPI FHIR 8.10.0 修复跨租户越权与 gzip 堆耗尽漏洞
CVE-2026-113873, CVE-2026-113874, CVE-2026-113875, CVE-2026-113876: HAPI FHIR cross-tenant partition override, authorization bypasses and gzip heap exhaustion
涉及核心医疗数据标准库的多租户越权与拒绝服务漏洞，直接威胁数据安全。请相关开发者立即评估升级至修复版本。
Posted by Abhinav Agarwal on Oct 22
Abhinav Agarwal 发布于 10 月 22 日
CISA has published four CVE records and CSAF advisory VA-26-294-01 for
CISA 发布了四条 CVE 记录以及 CSAF 公告 VA-26-294-01，针对 HAPI FHIR（HL7 FHIR 的开源 Java 实现）中的漏洞。这些漏洞是在 VINCE 案例 VU#394579 下协调处理的。我使用合成数据在 HAPI FHIR 8.10.0 上游版本（提交 96ac50f89455）上复现了全部四个漏洞。最严重的情况是，被授权访问一个租户数据的调用者可以读取另一个租户的数据，或在另一个租户的分区中创建数据。受影响：...
vulnerabilities in HAPI FHIR, an open-source Java implementation of HL7
HAPI FHIR（HL7
FHIR. They were coordinated under VINCE case VU#394579. I reproduced all
FHIR 的开源 Java 实现）中的漏洞。它们是在 VINCE 案例 VU#394579 下协调处理的。我复现了所有
four on upstream HAPI FHIR 8.10.0, commit 96ac50f89455, using synthetic
四个漏洞，目标为上游 HAPI FHIR 8.10.0，提交 96ac50f89455，使用的是合成
data. The worst case is that a caller authorized for one tenant can read
数据。最坏的情况是，被授权为一个租户服务的调用者可以读取
another tenant's data, or create data in another tenant's partition.
另一个租户的数据，或在该租户的分区中创建数据。
Affected:...
受影响的：...
更进一步：量化金融体系
看懂新闻只是起点——沿量化金融路径，把它变成能交付的工程能力