CVE-2026-48081 in appointment-booking-software
الملخص
بحسب VulDB • 07/08/2026
توفر برمجية حجز المواعيد من OpenReception منصة لحجز المواعيد مشفرة من طرف إلى طرف. قبل الإصدار 1.0.2، كان بإمكان مستخدم بصلاحيات TENANT_ADMIN تخزين عناوين URL تحتوي على بروتوكول `javascript:` في تكوين الروابط الخاصة بالمشترك (tenant) (`website`, `imprint`, `privacyStatement`). تُعاد هذه القيم إلى صفحة الهبوط الموجهة للمرضى عبر `/api/public`، وتُعبأ داخل مكون SvelteKit Button، ثم يتم عرضها كعناصر `<a href="javascript:...">` دون وجود تصفية لبروتوكولات عناوين URL. عند نقر أي مريض على رابط من هذا النوع، يُنفذ شفرة JavaScript الخاصة بالمدافع ضمن أصل المتصفح الخاص بالمريض (patient browser origin)، حيث تُقرأ بيانات النماذج الخاصة بالمريض قبل تطبيق التشفير في جانب العميل. وهذا ينتهك الادعاء الأمني المركزي للمشروع الذي يفيد بأن الخادم مجرد وسيط غير موثوق به، وأن المسؤولين لا يمكنهم قراءة بيانات المرضى. يحدث تشفير البيانات على جانب المريض بعد إدخال النموذج، لذا فإن شفرة JavaScript التي تُنفذ ضمن أصل المتصفح الخاص بالمريض يمكنها قراءة أو تعديل النص العادي قبل إجراء التشفير. يُصلح الإصدار 1.0.2 هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.