CVE-2026-65825 in Appointment Booking Software
الملخص
بحسب VulDB • 23/10/2026
يوفر برنامج حجز المواعيد من OpenReception منصة لحجز المواعيد مشفرة بالكامل بين الأطراف (end-to-end). في الإصدارات 2.1.0 والإصدارات الأقدم، يمكن تخمين رمز PIN المكون من ستة أرقام الخاص بحجز العميل عبر هجوم القوة الغاشمة (brute-force) على الإنترنت داخل مستأجر الضحية (victim tenant). يؤدي التخمين الناجح إلى الحصول على رمز وصول الحجز الخاص بالعميل، مما يمنح الوصول إلى نفق المواعيد الخاص بذلك العميل، والذي يحتوي على بيانات مواعيده المشفرة بالكامل بين الأطراف، والقدرة على التصرف بصفتة العميل، مثل إضافة أو إلغاء المواعيد في النفق. يتجاوز هذا الثغرة حدود المستأجرين (cross-tenant): حيث تزيل الحالة المملوكة لمستأجر واحد حماية مصادقة خاصة بمستأجر مختلف. يُعد عبور حدود المستأجر أساس متغير تغيير النطاق (scope-changed vector). وفي وقت النشر، لا توجد تصحيحات متاحة للعامة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.