CVE-2026-48077 in appointment-booking-software
Tóm tắt
Bởi VulDB • 07/08/2026
Phần mềm đặt lịch hẹn của OpenReception cung cấp một nền tảng đặt lịch được mã hóa đầu cuối (end-to-end). Trước phiên bản 1.1.0, trình xử lý GET tại `/api/tenants/{id}/appointments/{appointmentId}` không thực hiện kiểm tra ủy quyền nào trước khi trả về bản ghi lịch hẹn. Bất kỳ bên nào biết hoặc có được UUID hợp lệ của một cuộc hẹn đều nhận được toàn bộ dòng dữ liệu, bao gồm cả ID kênh và đại lý, thời gian và múi giờ, trạng thái, cũng như các thành phần mã hóa AES-GCM (`encryptedPayload`, `iv`, `authTag`, `dataKey`). Trình xử lý DELETE trong cùng tệp gọi hàm `checkPermission(locals, tenantId, true)` trước khi cho phép xóa. Ý định rõ ràng là: các bản ghi lịch hẹn được giới hạn theo phạm vi của chủ thuê (tenant) và yêu cầu xác thực để truy cập. Tuy nhiên, trình xử lý GET thiếu lệnh gọi tương đương này. Chuỗi middleware (`apiAuthHandle`, `authGuard`) không bù đắp cho lỗ hổng này: các đường dẫn API bỏ qua hoàn toàn `authGuard`, và `apiAuthHandle` không chặn các yêu cầu đối với các đường dẫn không phải quản trị viên khi không có token hiện diện. Phiên bản 1.1.0 đã vá lỗi này.
If you want to get best quality of vulnerability data, you may have to visit VulDB.