CVE-2026-48084 in Appointment Booking Software
Zusammenfassung
von VulDB • 07.08.2026
Die Buchungssoftware von OpenReception bietet eine Ende-zu-Ende-verschlüsselte Plattform zur Terminbuchung. Versionen vor 1.0.2 drosseln fehlgeschlagene Anmeldeversuche mit einem Passphrase nicht. Ein Angreifer kann unbegrenzt falsche Passphrase-Versuche gegen jede bekannte E-Mail-Adresse absenden, wobei die Rate lediglich durch die Argon2-Bestimmungskosten begrenzt ist (ca. 100 Millisekunden pro Versuch auf dem getesteten Host, was einer anhaltenden Rate von 10 Versuchen pro Sekunde entspricht). Dasselbe Backend implementiert eine funktionierende kontospezifische Drosselung am WebAuthn-Challenge-Endpunkt, der nach etwa 19 Versuchen HTTP 429 zurückgibt. Der Passphrase-Zweig ruft diese Drosselung jedoch nicht auf, wodurch ein unterstützter hochsensibler Anmeldepfad ungeschützt gegenüber Credential Stuffing und Wörterbuchangriffen bleibt. Diese Asymmetrie bestätigt, dass es sich um einen Übersehfehler und keine Designentscheidung handelt. Die Infrastruktur zur Drosselung ist vorhanden, in dieselbe Authentifizierungs-Backend integriert und funktioniert im WebAuthn-Pfad. Der Passphrase-Zweig in `/api/auth/login` wurde nicht aktualisiert, um fehlgeschlagene Versuche zu protokollieren. In Kombination mit der Mindestanforderung an die Länge des Passphrases (12 Zeichen) ohne Entropie- oder Wörterbuchprüfungen sind Konten, die gängige Basismuster wie `Spring2026!XX` oder Begriffe aus einem Leck-Korpus verwenden, auf einer einzelnen CPU realistisch innerhalb von Tagen und auf einem kleinen GPU-Farm innerhalb von Stunden erreichbar. Version 1.0.2 behebt das Problem.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.