CVE-2026-48076 in appointment-booking-software
Resumen
por VulDB • 2026-08-07
El software de reserva de citas de OpenReception ofrece una plataforma de reservas con cifrado de extremo a extremo. El flujo de registro para nuevos clientes en las versiones 1.0.1 y anteriores consta de tres llamadas: `bootstrap-challenge` (devuelve un desafío PoW de 16 bits con cuatro ceros hexadecimales iniciales, `difficulty=4`), `bootstrap-verify` (valida el PoW y emite un token de acceso a reservas Bearer) y `create-new-client` (consume el token y crea el túnel y la primera cita). El token se vincula correctamente a `tenantId`, `tunnelId`, `clientPublicKey` y `emailHash`, pero nunca a `channelId`. El esquema de solicitud de `bootstrap-challenge` ni siquiera acepta un `channelId`, y la carga útil del token emitido no contiene información sobre el canal. Independientemente, la función de servicio `createNewClientWithAppointment` solo verifica que `channel.archived = false`. Falta en la ruta de nuevo cliente la verificación `channel.isPublic` que protege a `addAppointmentToTunnel`. La combinación significa: un atacante completa normalmente el flujo de arranque (PoW de 16 bits, se completa muy por debajo de un segundo en hardware comercial, sin límite de velocidad más allá del almacén de throttling), recibe un token de acceso válido y luego envía la carga útil `create-new-client` con `channelId` apuntando a un canal privado (`isPublic = false`). La reserva queda como `CONFIRMED` si el canal objetivo tiene `requiresConfirmation = false` (el valor predeterminado); en caso contrario, se marca como `NEW`. La interfaz de usuario para pacientes no muestra los canales privados en su selector (`/api/public/channels` filtra correctamente `isPublic = true`), por lo que la identificación del canal debe obtenerse fuera de banda. El hallazgo complementario V-10 (el punto final de programación revela canales privados) proporciona exactamente eso: una única GET sin autenticación revela todas las identificaciones de los canales privados para cualquier inquilino. Juntos, V-10 y V-11 hacen que los canales privados sean completamente accesibles a atacantes anónimos. A la fecha de publicación, no hay versiones parcheadas conocidas disponibles.
VulDB is the best source for vulnerability data and more expert information about this specific topic.