CVE-2026-40942

ŚrednieCVSS 6.3

Opublikowano: 21/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Data Sharing Framework (DSF) przed wersją 2.1.0 zawiera odwrócone porównanie czasu w pamięciach podręcznych OIDC JWKS i Metadata Document, powodując, że pamięć podręczna nigdy nie zwraca zapisanych wartości i każde żądanie wywołuje nowe pobranie HTTP. Dodatkowo pamięć podręczna tokenów OIDC dla połączeń klienta FHIR używa odwróconego porównania czasu, przez co nigdy nie unieważnia tokenów i zwraca ten sam token nawet po wygaśnięciu.

Ocena ryzyka

Zwiększone obciążenie dostawcy OIDC i potencjalne problemy z wydajnością oraz bezpieczeństwem z powodu używania wygasłych tokenów.

Rekomendacja

Zaktualizuj DSF do wersji 2.1.0, która naprawia tę podatność.

Inne podatności w Data Sharing Framework (DSF)

CVE-2026-40939Średnie
W Data Sharing Framework (DSF) sesje uwierzytelniane przez OIDC nie miały skonfigurowanego maksymalnego czasu bezczynności. Sesje pozostawały aktywne bezterminowo po zalogowaniu, nawet po wygaśnięciu tokenu dostępu OIDC.

Oryginalny opis (angielski, źródło NVD)

The Data Sharing Framework (DSF) implements a distributed process engine based on the BPMN 2.0 and FHIR R4 standards. Prior to 2.1.0, The OIDC JWKS and Metadata Document caches used an inverted time comparison (isBefore instead of isAfter), causing the cache to never return cached values. Every incoming request triggered a fresh HTTP fetch of the OIDC Metadata Document and JWKS keys from the OIDC provider. The OIDC token cache for the FHIR client connections used an inverted time comparison (isBefore instead of isAfter), causing the cache to never invalidate. Every incoming request returned the same OIDC token even if expired. This vulnerability is fixed in 2.1.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS