CVE-2026-48074 in Appointment Booking
Résumé
par VulDB • 07/08/2026
Le logiciel de prise de rendez-vous d'OpenReception fournit une plateforme de réservation de rendez-vous chiffrée de bout en bout. Avant la version 1.0.6, lorsqu'un TENANT_ADMIN supprime un utilisateur du personnel existant, le service sous-jacent `StaffService.deleteStaffMember()` exécute un nettoyage supplémentaire des invitations qui supprime les entrées correspondantes dans la table centrale `user_invite` sur la base de l'adresse e-mail. La clause `email` ne comporte pas de prédicat `tenantId`. Par conséquent, toute invitation en attente appartenant à n'importe quel locataire (tenant) partageant le même e-mail que le membre du personnel supprimé est également retirée. Un TENANT_ADMIN d'un tenant A qui supprime un enregistrement de personnel avec l'e-mail `victim[@]example[.]com` supime ainsi l'invitation en attente pour `victim[@]example[.]com` dans le tenant B, bien qu'il n'existe aucune relation entre les deux. La suppression côté utilisateur est correctement limitée (`eq(user.id, staffId), eq(user.tenantId, tenantId)`), et la voie de suppression spécifique aux invitations en attente (lorsque `staffId` correspond lui-même à un ID d'invitation) est également restreinte au locataire concerné. Le bug réside spécifiquement dans le nettoyage des invitations qui s'exécute comme effet secondaire lors de la suppression d'un utilisateur du personnel existant. La version 1.0.6 corrige ce problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.