Quatro falhas no HAPI FHIR permitem vazamento de dados no Smile CDR
Um pesquisador identificou quatro vulnerabilidades no HAPI FHIR 8.10.0, componente de código aberto usado pelo Smile CDR 2026.05.R01, da Smile Digital Health. As falhas permitem acesso e modificação entre tenants, divulgação de registros de pacientes, vazamento de dados clínicos e indisponibilidade sem autenticação; não há exploração conhecida nem correção divulgada. Quem usa Smile CDR ou produtos com HAPI FHIR deve confirmar versões e correção com o fornecedor.
O que aconteceu
Um pesquisador de segurança identificou quatro vulnerabilidades no HAPI FHIR, componente gratuito de código aberto usado pela plataforma de dados de saúde Smile CDR, da Smile Digital Health. Segundo ele, as falhas permitem acesso e alteração de dados entre clientes da plataforma, divulgação de registros de pacientes e indisponibilidade do serviço sem autenticação. Não há exploração conhecida nem correção divulgada.
Por que importa
O HAPI FHIR está embutido em muitos produtos de saúde; o pesquisador identificou oito outros produtos comerciais que o usam, e saber quais estão em risco é difícil. O risco é a exposição de dados clínicos de pacientes, informação sensível sujeita a regras de privacidade. Há também risco de parada do serviço de dados clínicos por atacante sem autenticação.
O que fazer
Levantar quais sistemas usam Smile CDR ou produtos que embutam HAPI FHIR e confirmar a versão com cada fornecedor. Perguntar sobre correção e, enquanto ela não existir, restringir a exposição dos servidores à internet.
Para o time técnico
- Afetados
- Smile Digital Health (mantém o projeto HAPI FHIR) HAPI FHIR / Smile CDR · HAPI FHIR 8.10.0 (versão usada na demonstração), usada pelo Smile CDR 2026.05.R01. HAPI FHIR é usado em muitos produtos de saúde; o pesquisador citou oito outros produtos comerciais que o incorporam.
- Exploração
- Demonstração pelo pesquisador Abhinav Agarwal contra HAPI FHIR 8.10.0 no Smile CDR 2026.05.R01. Segundo o HIPAA Journal, não havia exploração conhecida no momento do anúncio.
- Correção
- Nenhuma correção divulgada nas fontes.
- Vetor
- CVE-2026-113873: tratamento incorreto de dados altamente comprimidos; atacante não autenticado envia payloads comprimidos que podem esgotar o heap do servidor ou derrubar serviços na descompressão. Segundo o pesquisador Abhinav Agarwal, o conjunto das quatro falhas permite acesso e modificação entre tenants, divulgação não autorizada de registros de pacientes e vazamento de dados clínicos. A fonte cita o identificador CVE-2026-113874 sem descrição; os outros dois CVEs não aparecem no texto.
- Mais detalhes
- CVE-2026-113873: gravidade alta; CVSS v3.1 base 7,5 e v4.0 base 8,7. HAPI FHIR é biblioteca Java e framework de servidor de código aberto que implementa o padrão HL7 FHIR; o projeto é mantido pela Smile Digital Health. Divulgação registrada em 26/10/2026 pela linha do tempo.
Linha do tempo
Divulgação aponta quatro falhas no HAPI FHIR que afetam o Smile CDR.
Fontes 1 fonte
- Multiple Vulnerabilities Identified in Component Used by Smile Digital Health’s Smile CDR HIPAA Journal
