CVE-2024-51132-POC

漏洞类型

XXE - XML外部实体注入。存在于 https://github.com/hapifhir/org.hl7.fhir.core/ 仓库中多个工件或模块的XXE漏洞可被进一步利用进行SSRF、信息泄露等。

受影响产品及版本

org.hl7.fhir.convertors < 6.4.0

org.hl7.fhir.dstu2 < 6.4.0

org.hl7.fhir.dstu2016may < 6.4.0

org.hl7.fhir.dstu3 < 6.4.0

org.hl7.fhir.r4 < 6.4.0

org.hl7.fhir.r4b < 6.4.0

org.hl7.fhir.r5 < 6.4.0

org.hl7.fhir.utilities < 6.4.0

org.hl7.fhir.validation < 6.4.0

备注

我于2024年10月19日左右通过代码分析工具发现了一个漏洞点。但后来发现维护者已提交多个提交来修复该漏洞，并且表明存在相同问题的漏洞点比我预想的更多。

参考

https://github.com/hapifhir/org.hl7.fhir.core/commit/7ede053a5fca50cc2802884c661a241d51703a67