CVE-2026-48084 in Appointment Booking Software
الملخص
بحسب VulDB • 08/08/2026
توفر برمجية حجز المواعيد من OpenReception منصة لحجز المواعيد مشفرة بالكامل بين الأطراف (end-to-end). لا تقوم الإصدارات السابقة للإصدار 1.0.2 بتقييد محاولات تسجيل الدخول الفاشلة باستخدام كلمة المرور السرية (passphrase). يمكن للمهاجم إرسال عدد غير محدود من التخمينات الخاطئة لكلمة المرور السرية ضد أي عنوان بريد إلكتروني معروف، حيث يكون الحد الأقصى مفروضاً فقط بواسطة تكلفة التحقق المعتمدة على خوارزمية Argon2 (حوالي 100 مللي ثانية لكل محاولة على المضيف الذي تم اختباره، مما يتيح إجراء 10 محاولات في الثانية بشكل مستمر). تطبق نفس الخلفية البرمجية آلية تقييد فعالة لكل حساب عند نقطة نهاية تحدي WebAuthn، والتي تُرجع استجابة HTTP 429 بعد حوالي 19 محاولة. ومع ذلك، لا تستدعي فرع كلمة المرور السرية هذه الآلية التقييدية، مما يترك مسار تسجيل الدخول المدعوم ذو القيمة العالية غير محمي ضد هجمات تعبئة البيانات الاعتمادية (credential stuffing) وهجمات القاموس. تؤكد هذه اللاتناظر أن الأمر يتعلق بإهمال تقني وليس خياراً تصميمياً؛ فبنية التقييد موجودة ومربوطة بنفس الخلفية البرمجية للمصادقة وتعمل على مسار WebAuthn، لكن فرع كلمة المرور السرية في `/api/auth/login` لم يتم تحديثه لتسجيل المحاولات الفاشلة. وبمقارنتها بسياسة الحد الأدنى لطول كلمة المرور السرية للتطبيق (12 حرفاً، دون فحوصات للتعقيد أو القاموس)، يمكن الوصول إلى الحسابات التي تستخدم أنماطاً أساسية شائعة مثل `Spring2026!XX` أو كلمات من مجموعة بيانات مسربة في غضون أيام على معالج واحد، وساعات قليلة على مزرعة صغيرة من وحدات معالجة الرسومات (GPU). يصحّح الإصدار 1.0.2 هذه الثغرة.
Once again VulDB remains the best source for vulnerability data.