CVE-2026-49485— hapifhir org.hl7.fhir.core 资源管理错误漏洞
可能的 ATT&CK 技术 1AI
T1496 · Resource Hijacking影响版本矩阵 2
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| hapifhir | org.hl7.fhir.core | < 6.9.4.2 | affected |
>= 6.9.5, < 6.9.9 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-49485 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
HAPI FHIR: ReDoS via FHIRPath matches()/replaceMatches() in FHIR Validator HTTP Endpoint
来源: CVE Program / CVE List V5
Vulnerability Description
HAPI FHIR is a complete implementation of the HL7 FHIR standard for healthcare interoperability in Java. Prior to 6.9.9 and 6.9.4.2, all implementations of FHIRPathEngine accept arbitrary FHIRPath expressions and evaluate them without input validation, and the FHIRPath functions matches(), matchesFull(), and replaceMatches() pass user-controlled regular expressions to Java's Pattern.compile() and String.replaceAll() through an incomplete timeout utility. An attacker can send a resource containing an evil regex pattern that causes catastrophic backtracking, exhausting CPU resources and causing denial of service in the FHIR Validator HTTP endpoint and affected org.hl7.fhir.* modules. This issue is fixed in versions 6.9.9 and 6.9.4.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
CWE-1333
来源: CVE Program / CVE List V5
Vulnerability Title
hapifhir org.hl7.fhir.core 资源管理错误漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
hapifhir org.hl7.fhir.core是hapifhir组织的一款用于处理医疗健康信息交换标准的开发框架。 hapifhir org.hl7.fhir.core 6.9.4.2之前版本和6.9.9之前版本存在资源管理错误漏洞，该漏洞源于FHIRPathEngine接受任意FHIRPath表达式并缺少输入验证，且匹配函数将用户控制的正则表达式传递给Java的Pattern.compile()和String.replaceAll()，可能导致攻击者利用恶意正则模式引发灾难性回溯，耗尽CPU资源并
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| hapifhir | org.hl7.fhir.core | < 6.9.4.2 | - |
二、漏洞 CVE-2026-49485 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
Qwen3.6-35B-A3B · 28761 chars
Pro+ 专属包含：
漏洞复现靶场录像（真实沙箱构建 + 触发，独家）
漏洞原理深度分析
触发条件与影响面
完整可执行 POC 代码
利用链与缓解建议
POC 打包下载
每月 100+ 条 AI 生成额度
三、漏洞 CVE-2026-49485 的情报信息
请登录查看更多情报信息。
CVE-2026-49485 补丁与修复 (3)
CVE-2026-49485 厂商安全公告 (1)
CVE-2026-49485 厂商页面 (2)
- 🔗 Release 6.9.9 · hapifhir/org.hl7.fhir.core · GitHubx_refsource_MISC
- 🔗 Release 6.9.4.2 · hapifhir/org.hl7.fhir.core · GitHubx_refsource_MISC
IV. Related Vulnerabilities
V. Comments for CVE-2026-49485
暂无评论