PT-2026-68739
CVE-2026-48077
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenReception الأقدم من 1.1.0
الوصف
يفشل معالج GET في نقطة النهاية
/api/tenants/{id}/appointments/{appointmentId} في إجراء فحوصات المصادقة. وهذا يسمح لأي طرف لديه معرّف UUID صالح للموعد باسترداد سجل الموعد الكامل، بما في ذلك معرّفات القناة والموظف، والوقت، والمنطقة الزمنية، والحالة، ومكونات النص المشفر AES-GCM مثل encryptedPayload وiv وauthTag وdataKey. يُعد AES-GCM وضع تشفير مُصادق عليه يوفر السرية والمصداقية معًا. توجد هذه المشكلة لأن معالج GET يفتقر إلى استدعاء الدالة checkPermission() التي تستخدمها المعالجات الأخرى، كما أن سلسلة البرامج الوسيطة المكونة من apiAuthHandle وauthGuard لا تحظر الطلبات الموجهة إلى هذه المسارات في حالة عدم وجود رمز مميز.التوصيات
التحديث إلى الإصدار 1.1.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾