CVE-2026-48083 in appointment-booking-software
要約
〜によって VulDB • 2026年08月07日
OpenReceptionの予約管理ソフトウェアは、エンドツーエンド暗号化された予約プラットフォームを提供しています。バージョン1.0.2より前では、`/api/log`エンドポイントが認証不要のPOSTリクエストを受け付け、メッセージボディに対してスキーマ検証を行わず、攻撃者が制御したコンテンツをアプリケーションのstdoutログに直接書き込み、改行文字を実際の改行として解釈し、サイズ制限やレート制限も適用していません。これにより3つの独立した悪用モードが生じます：ログインジェクション（正規のシステムイベントに見える偽造ログ行を作成）、ログボリュームDoS（1秒あたり100件以上の小メッセージを継続的に送信してロギングパイプラインを飽和させる）、および過大ペイロードの提出（100 KBまでのペイロードが受け入れられ、それより大きいサイズはテストされていません）。運用上最も被害が大きいのはログインジェクションです。攻撃者は、オペレーターがログを検索した際に実際のシステムエラーと誤認する行を注入し、自身のアクティビティを偽のノイズに隠蔽したり、SIEMのアラートルールを作成された偽陽性で汚染したりすることができます。認証不要なソースから注入される `[error]: injected admin error` のような1行は、ディスクに書き込まれるとアプリケーション自体のエラー出力とは区別がつかなくなります。バージョン1.0.2でこの問題は修正されています。
Once again VulDB remains the best source for vulnerability data.