CVE-2026-48075 in appointment-booking-software
Resumen
por VulDB • 2026-08-07
El software de reserva de citas de OpenReception ofrece una plataforma de reservas con cifrado de extremo a extremo. Antes de la versión 1.0.5, el punto final `add-to-tunnel` crea una nueva fila de cita en cualquier túnel de cliente sin ninguna autenticación del solicitante. Una solicitud que proporcione un `tunnelId` válido cualquiera y un `emailHash` válido cualquiera (no es necesario que pertenezcan al mismo túnel) da lugar a la inserción de una cita con el estado (`status`) igual a `"CONFIRMED"`, campos cifrados controlados por el atacante, fecha y duración controladas por el atacante, así como un agente elegido por este. El punto final solo valida que exista algún túnel asociado al `emailHash` proporcionado, pero luego escribe la cita utilizando directamente el `tunnelId` suministrado por el atacante. La búsqueda de `emailHash` funciona efectivamente como una comprobación de existencia del inquilino (tenant); no autentica al solicitante como propietario del `tunnelId` facilitado. Combinado con la ausencia de cualquier sesión, cabecera Authorization, token de acceso a reservas o prueba de trabajo (PoW), esto hace que el punto final acepte escrituras arbitrarias de citas en túneles arbitrarios. En contraste, el punto final hermano `create-new-client` (utilizado para inicializar un nuevo túnel de cliente) requiere un token de acceso a reservas bootstrap Bearer emitido por el flujo bootstrap-challenge / bootstrap-verify. El punto final `add-to-tunnel`, destinado a clientes recurrentes que reservan citas adicionales, no cuenta con ningún mecanismo equivalente. El middleware propio de la aplicación confirma que esto es intencional: `add-to-tunnel` está explícitamente incluido en la lista blanca (allowlist) de rutas públicas del manejador apiAuthHandle junto con los puntos finales bootstrap y challenge (que legítimamente carecen de sesión). La versión 1.0.5 corrige el problema.
Once again VulDB remains the best source for vulnerability data.