CVE-2026-48082 in appointment-booking-software
Zusammenfassung
von VulDB • 07.08.2026
Die Terminbuchungssoftware von OpenReception bietet eine Ende-zu-Ende-verschlüsselte Plattform zur Terminvereinbarung. Vor Version 1.0.6 gibt der Bootstrap-Challenge-Endpunkt unter `/api/tenants/{id}/appointments/bootstrap-challenge` einen SHA-256-Beweis für die Arbeitsleistung (Proof-of-Work) mit `difficulty=4` Hex-Zeros aus, was einer Rechenarbeit von 16 Bit entspricht. Moderne Hardware löst dies in weniger als 200 Millisekunden, wodurch im Wesentlichen keine Hürde gegen den automatisierten Missbrauch des Patientenbuchungsprozesses besteht. Der Proof-of-Work wird im Buchungsablauf als Rate-Limiter für nicht authentifizierte Clients verwendet, die Tunnel aufbauen und Termine einreichen. Bei einer Schwierigkeit von 16 Bit ist diese Konstruktion eher dekorativ als effektiv. Ein Angreifer kann PoW-Herausforderungen so schnell lösen, wie der Server sie ausgibt, wodurch das Ziel des Rate-Limiting zunichte gemacht wird. Der Handler ruft außerdem `challengeThrottleService.checkThrottle(binding, "passkey")` auf, doch die Binding-Variable enthält angreifergesteuerte Werte (`tunnelId`, `clientPublicKey` und optionales `emailHash`). Für jeden neuen Versuch kann der Angreifer neue Werte angeben, wodurch ein neuer Throttle-Schlüssel erzeugt wird und die kumulierte pro-Binding-Drosselung umgangen wird. Der praktische Missbrauchswiderstand liegt daher ausschließlich in der PoW-Schwierigkeit selbst und nicht in einer stabilen serverseitigen Drosselung pro IP-Adresse oder E-Mail. Version 1.0.6 behebt dieses Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.