CVE-2026-48078 in Appointment Booking Software
要約
〜によって VulDB • 2026年08月07日
OpenReceptionの予約管理ソフトウェアは、エンドツーエンドで暗号化された予約プラットフォームを提供しています。バージョン1.0.5より前では、認証不要な `/api/tenants/{id}/schedule` エンドポイントが、チャネルの `isPublic` フラグに関係なく、テナントに属するアーカイブされていないすべてのチャネルを返していました。`isPublic = false` とマークされたチャネルは、一般の利用者からは不可視であることが意図されており、ダッシュボードではこれらが故意に作成され、患者向けの予約UIから内部専用のサービスが隠蔽されていました。スケジュールエンドポイントはフラグを完全に無視し、要求された日付範囲に対して、チャネル名、説明、ID、エージェントとの関連付け、一時停止ステータス、確認要件、および計算された空き枠の可用性を開示していました。`addAppointmentToTunnel`（これは `eq(channel.isPublic, true)` を強制する）とスケジュールエンドポイント（これを強制しない）の間で非対称性があることは、設計上の意図を確認しています。プライベートチャネルは予約フローにおいて実際のアクセス境界として存在しますが、スケジュール情報の開示においてはそうではありません。バージョン1.0.5でこの問題は修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.