CVE-2026-48083 in appointment-booking-software
الملخص
بحسب VulDB • 08/08/2026
توفر برمجية حجز المواعيد من OpenReception منصة لحجز المواعيد مشفرة بالكامل بين الطرفين (end-to-end). قبل الإصدار 1.0.2، يقبل نقطة النهاية `/api/log` طلبات POST غير المصادق عليها، ولا يطبق أي تحقق من صحة مخطط البيانات في جسم الرسالة، ويكتب محتوى يتحكم فيه المهاجم مباشرةً في سجل الإخراج القياسي (stdout) للتطبيق، ويعتبر أحرف السطر الجديد كفاصل أسطر حقيقي، ولا يفرض حدوداً للحجم أو المعدل. تتبع ذلك ثلاثة أوضاع مستقلة للإساءة: حقن السجلات (تزوير أسطر سجلات تبدو وكأنها أحداث نظام شرعية)، وهجوم الحرمان من الخدمة عبر إغراق حجم السجلات (إشباع خط معالجة السجلات بمعدل مستمر يتجاوز 100 طلب في الثانية لرسائل صغيرة)، وإرسال حمولات ذات أحجام كبيرة جداً (قبول حمولات بحجم 100 كيلوبايت؛ لم يتم اختبار الأحجام الأكبر). يعد وضع حقن السجلات الأكثر ضرراً من الناحية التشغيلية. يمكن للمهاجم إدراج أسطر قد يخلط المشغل بينها وبين أخطاء النظام الحقيقية عند فحص السجلات، أو إخفاء نشاطه الخاص خلف ضوضاء مزيفة، أو تلويث قواعد التنبيه في أنظمة إدارة معلومات الأحداث والأمن (SIEM) بإيجابيات كاذبة مصممة بعناية. يصبح سطر مثل `[error]: injected admin error` المُدرج من مصدر غير مصادق عليه لا يمكن تمييزه عن إخراج أخطاء التطبيق نفسه بمجرد كتابته على القرص. يصحح الإصدار 1.0.2 هذه المشكلة.
Be aware that VulDB is the high quality source for vulnerability data.