CVE-2026-48071 in appointment-booking-software
الملخص
بحسب VulDB • 08/08/2026
توفر برمجية حجز المواعيد من OpenReception منصة لحجز المواعيد مشفرة بالكامل من طرف إلى طرف. قبل الإصدار 1.0.4، كانت آلية الحد (throttle) لتحدي نوع PIN تستخدم `emailHash` كمفتاح وحيد. توجد صفوف الآلية في الجدول المركزي `challenge_throttle`، الذي يتم مشاركته عبر جميع المستأجرين (tenants). يقوم كل مستأجر بزيادة نفس الصف عند فشل استجابة PIN من خلال نقطة النهاية `/api/tenants/{id}/appointments/verify-challenge`، ويقرأ كل مستأجر نفس الصف عند اتخاذ قرار إصدار تحدي جديد من خلال نقطة النهاية `/api/tenants/{id}/appointments/challenge`. عندما يوجد `emailHash` نفسه في عدة مستأجرين على مثيل OpenReception ذاته (نفس المريض لديه قنوات اتصال في عيادتين مختلفتين تشاركان المنصة)، يمكن لمهاجم يعرف بريد المريض الإلكتروني أن يحجب وصول ذلك المريض من المستأجر B عن طريق إرسال استجابات تحدي فاشلة ضد المستأجر A. لا يحتاج المهاجم إلى أي علاقة بالمستأجر B؛ حيث ينتشر الحظر عبر صف الحد المشترك. يزداد تأثير الحظر مع تكرار الفشل. يحدث أول حظر بعد 4 محاولات فاشلة ويستمر لمدة تقارب 60 ثانية. وتؤدي الإخفاقات اللاحقة إلى تصعيد مدة الحظر لتصل إلى 5 دقائق، و30 دقيقة، و60 دقيقة وفقاً لمنطق التصعيد في خدمة الحد (throttle service). تؤدي الهجمات المتكررة والمكثفة إلى حرمان مستمر من الخدمة ضد البريد الإلكتروني المستهدف. يصحح الإصدار 1.0.4 هذه المشكلة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.