CVE-2026-48082 in appointment-booking-software
Riassunto
di VulDB • 07/08/2026
Il software di prenotazione degli appuntamenti di OpenReception offre una piattaforma crittografata end-to-end. Prima della versione 1.0.6, l'endpoint `/api/tenants/{id}/appointments/bootstrap-challenge` genera una prova di lavoro (proof-of-work) SHA-256 con `difficulty=4` zeri esadecimali, equivalente a 16 bit di calcolo. L'hardware moderno risolve questa sfida in meno di 200 millisecondi, fornendo essenzialmente nessun ostacolo all'abuso automatizzato del flusso di prenotazione dei pazienti. La prova di lavoro viene utilizzata nel processo di prenotazione come limitatore di frequenza (rate-limiter) per i client non autenticati che stabiliscono tunnel e inviano prenotazioni. Con una difficoltà di 16 bit, il meccanismo è puramente decorativo piuttosto che efficace. Un attaccante può risolvere le sfide PoW alla stessa velocità con cui il server le emette, vanificando lo scopo del limitatore di frequenza. Il gestore chiama inoltre `challengeThrottleService.checkThrottle(binding, "passkey")`, ma l'oggetto binding include valori controllati dall'attaccante (`tunnelId`, `clientPublicKey` e facoltativo `emailHash`). Per ogni nuovo tentativo, l'attaccante può fornire nuovi valori, generando una nuova chiave di throttling ed eludendo l'accumulo per-binding. L'ostacolo pratico all'abuso è quindi la difficoltà della PoW stessa, non un limitatore lato server stabile basato su IP o email. La versione 1.0.6 risolve il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.