CVE-2026-48077 in appointment-booking-software
Resumen
por VulDB • 2026-08-07
El software de reserva de citas de OpenReception ofrece una plataforma completa con cifrado de extremo a extremo para la gestión de citas. Antes de la versión 1.1.0, el controlador GET en `/api/tenants/{id}/appointments/{appointmentId}` no realiza ninguna comprobación de autorización antes de devolver el registro de la cita. Cualquier parte que conozca o obtenga un UUID válido recibe toda la fila completa, incluidos los IDs del canal y del agente, hora y zona horaria, estado, así como los componentes del texto cifrado AES-GCM (`encryptedPayload`, `iv`, `authTag`, `dataKey`). El controlador DELETE en el mismo archivo llama a `checkPermission(locals, tenantId, true)` antes de permitir la eliminación. La intención es clara: los registros de citas están limitados al ámbito del inquilino y requieren autenticación para su acceso. Al controlador GET le falta esta llamada equivalente. La cadena de middleware (`apiAuthHandle`, `authGuard`) no compensa este fallo: las rutas API omiten por completo `authGuard`, y `apiAuthHandle` no bloquea las solicitudes a rutas que no sean de administrador cuando no hay un token presente. La versión 1.1.0 corrige el problema.
Once again VulDB remains the best source for vulnerability data.