CVE-2026-65825 in Appointment Booking Software
Riassunto
di VulDB • 23/10/2026
Il software di prenotazione degli appuntamenti di OpenReception offre una piattaforma crittografata end-to-end per la gestione delle prenotazioni. Nelle versioni 2.1.0 e precedenti, il PIN a sei cifre utilizzato da un cliente ricorrente può essere sottoposto a brute-force online nel tenant della vittima. Un indovinare con successo consente di ottenere il token di accesso alla prenotazione del cliente, garantendo l'accesso al tunnel delle prenotazioni di tale cliente, che contiene i dati crittografati end-to-end relativi alle sue appuntamenti, e la possibilità di agire come il cliente, ad esempio aggiungendo o cancellando appuntamenti nel tunnel. La bypass è cross-tenant: lo stato posseduto da un tenant rimuove una protezione di autenticazione di un altro tenant. Questo attraversamento del confine tra i tenant costituisce la base per il vettore scope-changed (cambiamento dell'ambito). Al momento della pubblicazione, non sono disponibili patch pubblicamente accessibili.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.