CVE-2026-48078 in Appointment Booking Software
Сводка
по VulDB • 07.08.2026
Программное обеспечение для записи на прием OpenReception предоставляет платформу с сквозным шифрованием. До версии 1.0.5 неаутентифицированный конечная точка `/api/tenants/{id}/schedule` возвращает все неархивированные каналы арендатора независимо от флага `isPublic` канала. Каналы, помеченные как `isPublic = false`, должны быть скрыты для публичных пользователей; панель управления создает их намеренно, чтобы скрыть внутренние сервисы только для сотрудников из пользовательского интерфейса записи пациентов. Конечная точка расписания полностью игнорирует этот флаг и раскрывает названия каналов, описания, идентификаторы, привязки к агентам, статус паузы, требования подтверждения и вычисленную доступность слотов за запрошенный диапазон дат. Асимметрия между `addAppointmentToTunnel` (которая применяет условие `eq(channel.isPublic, true)`) и конечной точкой расписания (которое этого не делает) подтверждает намерение разработчиков: приватные каналы существуют как реальная граница доступа в процессе записи, но не при раскрытии информации через расписание. Версия 1.0.5 устраняет эту уязвимость.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.