CVE-2026-48071 in appointment-booking-software
Résumé
par VulDB • 07/08/2026
Le logiciel de prise de rendez-vous d'OpenReception fournit une plateforme de réservation de rendez-vous chiffrée de bout en bout. Avant la version 1.0.4, le mécanisme de limitation (throttle) basé sur un défi de type PIN utilise `emailHash` comme seule clé. Les lignes du throttle sont stockées dans la table centrale `challenge_throttle`, qui est partagée entre tous les locataires (tenants). Pour chaque tenant, l'endpoint `/api/tenants/{id}/appointments/verify-challenge` incrémente la même ligne en cas d'échec de réponse au PIN, et l'endpoint `/api/tenants/{id}/appointments/challenge` lit cette même ligne pour déterminer si un nouveau défi doit être émis. Lorsque le même `emailHash` existe dans plusieurs tenants sur une même instance OpenReception (par exemple, lorsque le même patient est enregistré dans deux cliniques différentes partageant la plateforme), un attaquant qui connaît l'adresse e-mail du patient peut bloquer ce dernier pour le tenant B en soumettant des réponses de défi échouées contre le tenant A. L'attaquant n'a besoin d'aucune relation avec le tenant B ; le blocage se propage via la ligne de throttle partagée. La durée du blocage augmente avec les tentatives répétées et échouées. Le premier blocage est déclenché après 4 tentatives échouées et dure environ 60 secondes. Les défaillances ultérieures augmentent la durée du blocage à 5 minutes, 30 minutes puis 60 minutes, conformément à la logique d'escalade du service de throttling. Des rafales répétées entraînent un déni de service soutenu contre l'e-mail ciblé. La version 1.0.4 corrige ce problème.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.