CVE-2026-75525
Təsvir
OpenReception-ın təyinatlaşdırma proqram təminatı uçdan-uca şifrlənmiş təyinatlaşdırma platforması təqdim edir. 2.1.0 və daha əvvəlki versiyalarda autentifikasiya olunmamış hücumçu istənilən tenant-ın staff-crypto qəbulçuları kataloqunda hər hansı mövcud istifadəçi kimliyi altında ixtiyari ML-KEM-768 açıq açarını saxlaya bilər. Məhsulun dizaynı təyinat məlumatlarının heyət üzvləri üçün uçdan-uca şifrləndiyini və heyət qəbulçuları kataloqunun hücumçu tərəfindən yazıla bilməz olduğunu təmin edir ki, beləliklə hətta administratorlar və operator da pasiyent məlumatlarını oxuya bilmir. Bu son nöqtə (endpoint) autentifikasiya olunmamış uzaq aktor üçün həmin zəmanəti pozur: o, istənilən tenant-ın qəbulçular kataloquna ixtiyari şifrləmə qəbulçusunun yazılmasına imkan verir. İnjeksiya edilmiş açar, həmin tenant-da bundan sonra təyin olunan hər bir görüşün tunel açarını alır, çünki rezervasiya müştəriləri bütün aktiv heyət açarları ilə şifrləmə aparır. Hücumçu müvafiq gizli açara sahibdir və həmin açar materialının daimi, icazəsiz qəbulçusudur. Nəşr edildiyi vaxt etibarilə heç bir publicly available yamaq mövcud deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| open-reception appointment-booking-software | <= 2.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.