CVE-2026-48084 in Appointment Booking Software
Résumé
par VulDB • 07/08/2026
Le logiciel de prise de rendez-vous d'OpenReception fournit une plateforme de réservation de rendez-vous chiffrée de bout en bout. Les versions antérieures à la 1.0.2 ne limitent pas (ne throttlent pas) les tentatives échouées de connexion par phrase secrète. Un attaquant peut soumettre un nombre illimité d'essais incorrects de phrases secrètes contre n'importe quelle adresse email connue, limité uniquement par le coût de vérification Argon2 (environ 100 millisecondes par tentative sur l'hôte testé, soit une capacité soutenue de 10 tentatives par seconde). Le même backend implémente un mécanisme de limitation fonctionnel par compte sur le point de terminaison du défi WebAuthn, qui renvoie un code HTTP 429 après environ 19 tentatives. La branche dédiée à la phrase secrète n'invoque simplement pas cette limitation, laissant une voie d'authentification prise en charge et à haute valeur sans protection contre les attaques par stuffing de identifiants (credential stuffing) et par dictionnaire. Cette asymétrie confirme qu'il s'agit d'une négligence plutôt que d'un choix de conception. L'infrastructure de limitation existe, est intégrée au même backend d'authentification et fonctionne sur la voie WebAuthn. La branche de phrase secrète dans `/api/auth/login` n'a pas été mise à jour pour enregistrer les tentatives échouées. Combiné avec la politique minimale de longueur de phrase secrète de l'application (12 caractères, sans vérifications d'entropie ou de dictionnaire), les comptes utilisant des motifs de base courants tels que `Spring2026!XX` ou des mots issus d'un corpus de fuites sont réalistement atteignables en quelques jours sur un seul CPU, et en quelques heures sur une petite ferme GPU. La version 1.0.2 corrige ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.