PT-2026-68735
CVE-2026-48071
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-08
الوصف من
CVSS 3.1
5.8
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenReception الأقدم من 1.0.4
الوصف
يستخدم نظام التحكم في عدد محاولات التحدي من نوع PIN
emailHash كمفتاح وحيد داخل جدول مركزي باسم challenge throttle مشترك بين جميع المستأجرين. تتيح هذه البنية المشتركة للمهاجم الذي يعرف البريد الإلكتروني لأحد المرضى التسبب في حجب الخدمة عن ذلك المريض عبر عدة مستأجرين. من خلال إرسال استجابات فاشلة للتحدي إلى نقطة النهاية /api/tenants/{id}/appointments/verify-challenge لأحد المستأجرين، يقوم المهاجم بزيادة قيمة صف مشترك يتم قراءته بواسطة نقطة النهاية /api/tenants/{id}/appointments/challenge الخاصة بالمستأجرين الآخرين. ويؤدي ذلك إلى حظر تتصاعد مدته من 60 ثانية بعد 4 محاولات فاشلة، وصولاً إلى 60 دقيقة مع تكرار حالات الفشل.التوصيات
التحديث إلى الإصدار 1.0.4.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾