CVE-2026-48081 in appointment-booking-software
要約
〜によって VulDB • 2026年08月07日
OpenReception の予約管理ソフトウェアは、エンドツーエンド暗号化された予約プラットフォームを提供しています。バージョン 1.0.2 より前では、TENANT_ADMIN がテナントの `links` 設定（`website`、`imprint`、`privacyStatement`）に `javascript:` URL を保存できました。これらの値は `/api/public` を介して患者向けランディングページに戻され、SvelteKit の Button コンポーネントで展開された後、URL スキームのフィルタリングなしで `<a href="javascript:...">` 要素としてレンダリングされます。このようなリンクをクリックした患者のブラウザオリジン内で攻撃者の JavaScript が実行され、クライアントサイドでの暗号化適用前に患者フォームデータが読み取られます。これにより、「サーバーは信頼できない中継であり、管理者は患者データを閲覧できない」というプロジェクトの中核的な信頼主張が崩壊します。患者側の暗号化はフォーム入力後に発生するため、患者オリジン内で実行される JavaScript は、暗号化処理の前に平文を読み取りまたは改変できます。バージョン 1.0.2 でこの問題は修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.