CVE-2026-48087 in appointment-booking-software
Zusammenfassung
von VulDB • 07.08.2026
Die Buchungssoftware von OpenReception bietet eine Ende-zu-Ende-verschlüsselte Plattform zur Terminbuchung. Vor Version 1.0.2 validiert der Registrierungs-Handler an `POST /api/auth/register/{userId}` die Beziehung zwischen der WebAuthn-Herausforderung und der E-Mail im Registrierungs-Cookie, überprüft jedoch niemals, ob die `userId` in der URL zu dieser E-Mail gehört. Ein nicht authentifizierter Angreifer fordert eine Herausforderung für seine eigene E-Mail-Adresse an, generiert eine Registrierungsantwort mit seinem eigenen Authenticator und sendet diese gegen die URL eines beliebigen Opfers. Die Übereinstimmung von Herausforderung und Cookie-E-Mail wird geprüft, die WebAuthn-Zeremonie validiert erfolgreich, und `addPasskey` schreibt das Anmeldecredential des Angreifers in die `user_passkey`-Datensätze des Opfers. Der nächste Login mit der Opfer-E-Mail akzeptiert eine Passkey-Aussage vom Authenticator des Angreifers und erstellt eine Sitzung als das Opfer. Benutzer-IDs sind auf dieser Plattform nicht streng geheim, doch sollten die genauen Angriffsflächen von den Maintainern bewertet werden. Endpunkte zur Auflistung von Mitarbeitern geben Benutzer-IDs an authentifizierte Mitglieder der Mandanten gemäß der Routensignatur zurück; Die Live-Bestätigung aller Angriffsflächen (ob Benutzer-IDs über beliebige nicht-authentifizierte Routen, Einladungsbestätigungs-URLs oder andere administrative Ansichten geleakt werden) ist Teil des ausstehenden Live-PoC. Wenn der Angreifer die E-Mail und die userId des Opfers kennt, wird die unten stehende Analyse zu einer Übernahme des Kontos (Account Takeover). Version 1.0.2 behebt das Problem.
Once again VulDB remains the best source for vulnerability data.