CVE-2026-48079 in Appointment Booking Software
Zusammenfassung
von VulDB • 07.08.2026
Die Buchungssoftware von OpenReception bietet eine Ende-zu-Ende-verschlüsselte Plattform zur Terminbuchung. Vor Version 1.0.2 löscht der serverseitige Load-Handler der Seite, wenn ein Benutzer die `/logout`-Seite aufruft, das `access_token`-Cookie, bevor er über einen internen Aufruf von `event.fetch()` `/api/auth/logout` anfordert. Der interne Fetch-Vorgang wird daraufhin ohne das Authentifizierungs-Cookie ausgeführt, sodass `apiAuthHandle` die Anfrage ablehnt, der Logout-Handler niemals ausgeführt wird und `SessionService.revokeSession()` für die aktuelle Sitzung nicht aufgerufen wird. Die Sitzungszeile in der Datenbank bleibt bis zum natürlichen Ablauf (standardmäßig eine Woche) gültig. Der Benutzer sieht einen erfolgreichen Logout (Cookie entfernt, Benutzeroberfläche kehrt zur Anmeldung zurück), doch jede Partei, die noch über eine Kopie des nun gelöschten Access-Tokens verfügt, kann weiterhin authentifizierte API-Aufrufe tätigen, bis die Sitzung natürlich abläuft. Die Ursache ist ein einfacher Fehler in der Reihenfolge der Operationen. Dasselbe Authentifizierungssystem implementiert die korrekte Reihenfolge bei `/api/auth/logout`: Zuerst wird die aktuelle DB-Sitzung widerrufen und anschließend das Cookie gelöscht. Der Wrapper auf Seitenebene führt diese Schritte umgekehrt aus. Version 1.0.2 leitet den serverseitigen Logout ein, bevor Authentifizierungs-Cookies entfernt werden, und ist erstmals in Version 1.0.2 enthalten. In Version 2.0.0 wird dies später durch einen Race-Free-Client-Side-Logout-Prozess ersetzt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.