CVE-2026-59979 - YosemiteCrew：服務與 PMS 圖書/範本路由缺少組織授權
CVE-2026-59979 - YosemiteCrew: Missing organization authorization on service and PMS library/template routes
YosemiteCrew 的服務與 PMS 圖書/範本路由缺少組織授權，任何註冊使用者都能修改或刪除其他組織的資料。
缺乏組織授權，任何註冊使用者可修改或刪除其他組織的服務與任務資料，影響預約與計費；此漏洞亦可在未授權情況下讀取服務記錄，可能造成資訊洩漏。
譯文尚未完整，完整內容請切換至原文。
YosemiteCrew 提供以組織為基礎的服務與任務管理。在原始碼報告的受影響主分支與開發分支快照中，YosemiteCrew 的服務與 PMS 任務庫/範本路由缺少組織與許可權檢查。`authorizeCognito` 在 `apps/backend/src/middlewares/auth.ts` 中設定已驗證使用者的 ID，但未提供 `withOrgPermissions()` 與 `requirePermission(...)` 檢查，這些檢查被用於受保護的同級路由。在 `apps/backend/src/routers/service.router.ts`，`PATCH /fhir/v1/service/:id` 與 `DELETE /fhir/v1/service/:id` 只做身份驗證，而 `GET /fhir/v1/service/:id` 則沒有身份驗證中介層。從 `apps/backend/src/controllers/web/service.controller.ts` 到 `apps/backend/src/services/service.service.ts` 的追蹤流程，將全域紀錄 ID 傳遞給 `ServiceModel.findById(oid)`，但未加上 `organisationId` 過濾。在 `apps/backend/src/routers/task.router.ts`，`PUT /v1/task/pms/library/:libraryId`、`POST /v1/task/pms/templates`、`PATCH /v1/task/pms/templates/:templateId` 與 `DELETE /v1/task/pms/templates/:templateId` 同樣缺少組織/角色強制。任何已註冊的平臺使用者，包括病患/伴侶 App 帳號，都可以修改或刪除其他組織的服務目錄與 PMS 任務庫/範本資料，影響預約與帳單；服務紀錄亦可在未經身份驗證的情況下閱讀。先前的安全變更保護了建立路由，但未對這些同級操作進行保護。根據現有證據，無法確定已釋出修正版本。
影響
受影響產品
以下產品受CVE-2026-59979漏洞影響。
即使cvefeed.io瞭解受影響產品的確切版本，資訊仍未在下表中呈現。
尚未記錄受影響產品
Common Vulnerability Scoring System（通用漏洞評分系統）是一套標準化框架，用於評估軟體與系統中漏洞的嚴重程度。 我們收集並顯示各來源的 CVSS 分數，對每個 CVE 進行評分。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] |
Implement organization and permission checks for all service and task management routes.
- 為服務路由新增組織及許可權檢查。
- 確保任務路由執行組織與角色存取。
- 審查並強制所有服務端點的身份驗證。
在此，您將找到一份精選的外部連結清單，提供關於CVE-2026-59979的深入資訊、實用解決方案與有價值的工具。
| URL | Resource |
|---|---|
| https://github.com/YosemiteCrew/Yosemite-Crew/security/advisories/GHSA-256m-gg99-4274 |
CVE 識別具體的漏洞例項，而 CWE 將可能導致漏洞的常見缺陷或弱點進行分類。
CVE-2026-59979 與以下 CWE 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式描述了對手用以利用 CVE-2026-59979 弱點的常見特徵與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下列表為已在 GitHub 釋出的公開攻擊與概念驗證集合，按最近更新排序。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為在文章中提及 CVE-2026-59979 漏洞的新聞。
以下表格列出 CVE-2026-59979 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響漏洞嚴重性、可利用性或其他特性的最新變更。
-
收到新 CVE 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 YosemiteCrew 提供以組織為基礎的服務與任務管理。在來源報告的受影響主分支與開發分支快照中，YosemiteCrew 的服務與 PMS 任務庫/範本路由忽略了組織與許可權檢查。`authorizeCognito` 在 `apps/backend/src/middlewares/auth.ts` 中設定已驗證使用者的 ID，但未提供 `withOrgPermissions()` 與 `requirePermission(...)` 這些受保護子路由所使用的檢查。在 `apps/backend/src/routers/service.router.ts` 中，`PATCH /fhir/v1/service/:id` 與 `DELETE /fhir/v1/service/:id` 僅需認證，而 `GET /fhir/v1/service/:id` 則沒有認證中介軟體。從 `apps/backend/src/controllers/web/service.controller.ts` 到 `apps/backend/src/services/service.service.ts` 的追蹤過程，將全域記錄 ID 傳入 `ServiceModel.findById(oid)`，但未使用 `organisationId` 篩選。在 `apps/backend/src/routers/task.router.ts` 中，`PUT /v1/task/pms/library/:libraryId`、`POST /v1/task/pms/templates`、`PATCH /v1/task/pms/templates/:templateId` 與 `DELETE /v1/task/pms/templates/:templateId` 同樣缺少組織/角色強制。任何已註冊的平臺使用者，包括病患/伴侶應用帳號，都能修改或刪除其他組織的服務目錄與 PMS 任務庫/範本資料，進而影響預約與結帳；服務紀錄亦可在未經認證的情況下閱讀。先前的安全變更保護了建立路由，但仍將這些子操作暴露。根據現有證據，無法確定已釋出的修正版本。 新增 CVSS V3.1 AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H 新增 CWE CWE-639 新增 CWE CWE-862 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/59xxx/CVE-2026-59979.json">CVE-2026-59979</a> 新增 參考 https://github.com/YosemiteCrew/Yosemite-Crew/security/advisories/GHSA-256m-gg99-4274
EPSS 是每日估算在接下來 30 天內觀測到利用活動的機率。下圖顯示此漏洞的 EPSS 分數歷史。