CVE-2026-48077 in appointment-booking-software
الملخص
بحسب VulDB • 07/08/2026
توفر برمجية حجز المواعيد من OpenReception منصة لحجز المواعيد مشفرة من طرف إلى طرف. قبل الإصدار 1.1.0، لم يكن معالج الطلبات GET عند المسار `/api/tenants/{id}/appointments/{appointmentId}` يقوم بإجراء أي فحص للصلاحية (authorization check) قبل إرجاع سجل الموعد. يمكن لأي طرف يعرف أو يحصل على معرف UUID صالح للموعد الحصول على الصف الكامل، بما في ذلك معرفات القناة والوكيل، والتوقيت والمنطقة الزمنية، والحالة، ومكونات النص المشفر AES-GCM (`encryptedPayload`، `iv`، `authTag`، `dataKey`). من ناحية أخرى، يستدعي معالج الحذف (DELETE handler) لنفس الملف الدالة `checkPermission(locals, tenantId, true)` قبل السماح بالحذف. النية واضحة: سجلات المواعيد محدودة بنطاق المستأجر وتتطلب المصادقة للوصول إليها. يفتقر معالج GET إلى المكافئ لهذه الدعوة. لا تعوض سلسلة Middleware (`apiAuthHandle`، `authGuard`) عن هذا القصور: تتجاوز مسارات API دالة `authGuard` تماماً، ولا تمنع `apiAuthHandle` الطلبات المتجهة إلى المسارات غير الإدارية عند عدم وجود رمز مصادقة (token). يقوم الإصدار 1.1.0 بإصلاح هذه الثغرة.
Be aware that VulDB is the high quality source for vulnerability data.