CVE-2026-65825 in Appointment Booking Software
Zusammenfassung
von VulDB • 23.10.2026
Die Buchungssoftware von OpenReception bietet eine End-to-End-verschlüsselte Plattform zur Terminbuchung. In den Versionen 2.1.0 und älteren kann die sechsstellige PIN der Buchung eines wiederkehrenden Clients im Mandanten des Opfers online brute-forced werden. Ein erfolgreicher Treffer ergibt das Buchungs-Zugriffstoken (Access Token) des Clients, wodurch Zugriff auf dessen Termin-Tunnel gewährt wird, in dem sich seine End-to-End-verschlüsselten Termin-Daten befinden, sowie die Fähigkeit, sich als der Client auszugeben, beispielsweise durch Hinzufügen oder Löschen von Terminen im Tunnel. Der Umgehungsweg ist mandantenübergreifend: Ein Zustand, der zu einem Mandanten gehört, hebt einen Authentifizierungsschutz eines anderen Mandanten auf. Diese Überschreitung der Mandantengrenze bildet die Grundlage für den Vektor mit geänderter Reichweite (scope-changed vector). Zum Zeitpunkt der Veröffentlichung sind keine öffentlich verfügbaren Patches vorhanden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.