CVE-2026-48087 in appointment-booking-software
Résumé
par VulDB • 07/08/2026
Le logiciel de prise de rendez-vous d'OpenReception fournit une plateforme de réservation de rendez-vous chiffrée de bout en bout. Avant la version 1.0.2, le gestionnaire d'enregistrement à l'adresse `POST /api/auth/register/{userId}` valide la relation entre le défi WebAuthn et l'email contenu dans le cookie d'enregistrement, mais ne valide jamais que le `userId` présent dans l'URL appartient bien à cet email. Un attaquant non authentifié demande un défi pour sa propre adresse email, génère une réponse d'enregistrement avec son propre authenticateur, puis la soumet contre l'URL de n'importe quel utilisateur victime. La correspondance entre l'email du défi et celui du cookie est validée, la cérémonie WebAuthn aboutit, et `addPasskey` inscrit les identifiants de l'attaquant dans les lignes `user_passkey` de la victime. Lors de la prochaine connexion par email de la victime, une assertion de passkey provenant de l'authenticator de l'attaquant est acceptée et un session en tant que victime est émise. Les IDs utilisateur ne sont pas strictement secrets sur cette plateforme, mais les surfaces d'exposition exactes doivent être évaluées par les mainteneurs. Les points de terminaison (endpoints) de la liste du personnel retournent les IDs utilisateur aux membres authentifiés du locataire conformément à la signature de la route ; une vérification en direct de toutes les surfaces d'exposition (que ce soit si les IDs utilisateur fuient via n'importe quelle route non authentifiée, des URLs de confirmation d'invitation ou d'autres vues administratives) fait partie du Proof of Concept (PoC) en cours. Lorsque l'attaquant connaît l'email et le userId de la victime, l'analyse ci-dessous devient une prise de contrôle de compte. La version 1.0.2 corrige ce problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.