PT-2026-68744
CVE-2026-48082
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenReception السابقة للإصدار 1.0.6
الوصف
تنفذ نقطة نهاية تحدي التمهيد
/api/tenants/{id}/appointments/bootstrap-challenge آلية إثبات العمل (PoW) باستخدام خوارزمية SHA-256، والتي تهدف إلى تقييد معدل طلبات العملاء غير المصادق عليهم. ومع ذلك، فإن الإعداد difficulty=4 (16 بت من العمل) منخفض جدًّا، مما يسمح للأجهزة الحديثة بحل التحديات في أقل من 200 مللي ثانية، ويتيح إساءة الاستخدام الآلي لعملية الحجز. بالإضافة إلى ذلك، تعتمد الدالة challengeThrottleService.checkThrottle(binding, ”passkey“) على binding يحتوي على متغيرات يسيطر عليها المهاجم مثل tunnelId وclientPublicKey وemailHash. ومن خلال توفير قيم جديدة لهذه المتغيرات في كل محاولة، يمكن للمهاجم إنشاء مفاتيح تقييد جديدة وتجاوز تقييد معدل الاستخدام من جانب الخادم.التوصيات
التحديث إلى الإصدار 1.0.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾