YosemiteCrew Yosemite-Crew: Fehlende Autorisierung bei Service- und PMS-Task-Routen
Zusammenfassung
Mehrere Service- und PMS-Task-Library-/Template-Routen in YosemiteCrew prüfen nur, ob der Aufrufer angemeldet ist, nicht aber die Organisationszugehörigkeit oder Berechtigungen. Die Service-Abfragen über die Datensatz-ID filtern zudem nicht nach Organisation, und die GET-Route für einen einzelnen Service hat gar keine Authentifizierung. Jeder registrierte Plattformbenutzer, auch ein Patienten- oder Companion-App-Konto, kann den Service-Katalog und die Task-Templates einer fremden Organisation ändern oder löschen, was Buchungen und Abrechnung betrifft, und nicht angemeldete Benutzer können Service-Datensätze lesen.
Betroffen
- Yosemite-Crew (Haupt- und Entwicklungsstand) bis Commit bc1a1824b1a7eba2bc61176cdb61d9a2a11bce57
- Betroffene Routen: PATCH und DELETE /fhir/v1/service/:id, GET /fhir/v1/service/:id (ohne Authentifizierung), PUT /v1/task/pms/library/:libraryId, POST /v1/task/pms/templates, PATCH und DELETE /v1/task/pms/templates/:templateId
- Betroffener Release-Bereich: Unbekannt.
Behoben in
Unbekannt. Es wurde kein korrigierter Release oder Commit identifiziert.
Umgehung
Keine Workaround-Massnahme vom Hersteller veröffentlicht.
- Backend-API nicht aus dem Internet erreichbar machen; auf das Praxisnetz oder VPN beschränken oder hinter ein Zugangs-Gateway stellen.
- Offene Selbstregistrierung einschränken oder deaktivieren, bis ein Fix verfügbar ist.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog gelistet.
- Technische Details sind laut Quellen bekannt; die Quellen widersprechen sich, ob öffentlicher Exploit-Code existiert.
- Für die Schreib-Routen ist ein registriertes Konto nötig; die GET-Route benötigt kein Konto.
Unsere Empfehlung
- Prüfen, ob Yosemite-Crew eingesetzt wird und ob das Backend aus dem Internet erreichbar ist.
- Backend-Zugriff auf das Praxisnetz oder VPN beschränken, insbesondere die nicht authentifizierte GET-Route.
- Service-Katalog, Task-Library- und Template-Daten auf unerwartete Änderungen oder Löschungen prüfen und abrechnungsrelevante Konfigurationen sichern.
- API-Logs auf PATCH-, PUT- und DELETE-Aufrufe von Konten ausserhalb der zugehörigen Organisation prüfen.
- Das Security-Advisory des Herstellers auf einen korrigierten Release überwachen und diesen umgehend einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-256m-gg99-4274 github.com
- Vulners CIRCL record CVE-2026-59979 vulners.com
- VulDB entry 428019 vuldb.com
- CVE Threat Intelligence record cve.threatint.com
- Strix CVE record www.strix.ai
- TheHackerWire CVE-2026-59979 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.