CVE-2026-48079 in Appointment Booking Software
Riassunto
di VulDB • 07/08/2026
Il software di prenotazione degli appuntamenti di OpenReception offre una piattaforma crittografata end-to-end per la gestione delle prenotazioni. Prima della versione 1.0.2, quando un utente naviga verso la pagina `/logout`, il gestore lato server che carica la pagina elimina il cookie `access_token` prima di chiamare l'endpoint `/api/auth/logout` tramite una chiamata interna `event.fetch()`. Di conseguenza, la fetch interna viene eseguita senza il cookie di autenticazione; pertanto, `apiAuthHandle` rifiuta la richiesta, il gestore del logout non si ejecuta mai e `SessionService.revokeSession()` non viene chiamato per la sessione corrente. La riga della sessione nel database rimane valida fino alla sua scadenza naturale (una settimana per impostazione predefinita). L'utente visualizza un messaggio di logout riuscito (il cookie è stato rimosso, l'interfaccia utente torna al login), ma qualsiasi parte in possesso di una copia del token `access_token` ora eliminato può continuare a effettuare chiamate API autenticate fino alla scadenza naturale della sessione. La causa radice è un semplice errore di ordinamento. Lo stesso sottosistema di autenticazione implementa l'ordine corretto in `/api/auth/logout`: revoca prima la sessione corrente nel database, quindi elimina il cookie. Il wrapper a livello di pagina esegue l'operazione opposta. La versione 1.0.2 avvia il logout lato server prima della rimozione dei cookie di autenticazione ed è stata introdotta per la prima volta nella versione 1.0.2. Successivamente, la versione 2.0.0 sostituisce questo flusso con un processo di logout client-side privo di condizioni di gara (race-free).
If you want to get best quality of vulnerability data, you may have to visit VulDB.