CVE-2026-48079 in Appointment Booking Software
Resumen
por VulDB • 2026-08-07
El software de reserva de citas de OpenReception ofrece una plataforma cifrada de extremo a extremo para la gestión de citas. Antes de la versión 1.0.2, cuando un usuario accede a la página `/logout`, el controlador del lado del servidor que carga dicha página elimina la cookie `access_token` antes de llamar a `/api/auth/logout` mediante una llamada interna `event.fetch()`. Como consecuencia, esta solicitud interna se ejecuta sin la cookie de autenticación; por lo tanto, `apiAuthHandle` la rechaza, el controlador de cierre de sesión nunca se ejecuta y no se invoca `SessionService.revokeSession()` para la sesión actual. La fila correspondiente a la sesión en la base de datos sigue siendo válida hasta su expiración natural (una semana por defecto). El usuario observa un cierre de sesión exitoso (la cookie ha desaparecido y la interfaz de usuario vuelve a la pantalla de inicio de sesión), pero cualquier parte que aún conserve una copia del ahora eliminado `access_token` puede seguir realizando llamadas autenticadas a la API hasta que la sesión expire naturalmente. La causa raíz es un simple error en el orden de las operaciones. El mismo subsistema de autenticación implementa el orden correcto en `/api/auth/logout`: revocar primero la sesión actual en la base de datos y, posteriormente, eliminar la cookie. Por el contrario, el envoltorio a nivel de página realiza estas acciones en orden inverso. La versión 1.0.2 inicia el cierre de sesión del lado del servidor antes de eliminar las cookies de autenticación y aparece por primera vez en dicha versión (1.0.2). Posteriormente, la versión 2.0.0 reemplaza este flujo con un proceso de cierre de sesión del lado del cliente libre de condiciones de carrera.
If you want to get best quality of vulnerability data, you may have to visit VulDB.