CVE-2026-48081 in appointment-booking-software
Sumário
de VulDB • 07/08/2026
O software de agendamento de consultas da OpenReception oferece uma plataforma completa com criptografia de ponta a ponta para o agendamento de consultas. Antes da versão 1.0.2, um TENANT_ADMIN pode armazenar URLs `javascript:` na configuração dos links do inquilino (`website`, `imprint`, `privacyStatement`). Esses valores são retornados à página inicial voltada ao paciente via `/api/public`, preenchidos no componente SvelteKit Button e renderizados como elementos `<a href="javascript:...">` sem filtragem de esquema de URL. Um paciente que clica em qualquer um desses links executa o JavaScript do atacante dentro da origem do navegador do paciente, onde os dados dos formulários são lidos antes que a criptografia no lado do cliente seja aplicada. Isso viola a principal afirmação de confiança do projeto, que estabelece que o servidor é uma ponte não confiável e que os administradores não podem ler os dados dos pacientes. A criptografia no lado do paciente ocorre após a entrada nos formulários; portanto, um JavaScript executado na origem do paciente pode ler ou alterar os dados em texto claro antes da realização da criptografia. A versão 1.0.2 corrige o problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.