CVE-2026-48071 in appointment-booking-software
要約
〜によって VulDB • 2026年08月07日
OpenReceptionの予約管理ソフトウェアは、エンドツーエンドで暗号化された予約プラットフォームを提供しています。バージョン1.0.4より前では、PINタイプのチャレンジ制限（スロットル）処理において `emailHash` が唯一のキーとして使用されていました。この制限用のレコードは、すべてのテナント間で共有される中央の `challenge_throttle` テーブルに格納されます。各テナントの `/api/tenants/{id}/appointments/verify-challenge` エンドポイントは、PIN応答が失敗した場合に同じ行のカウントを増加させます。また、各テナントの `/api/tenants/{id}/appointments/challenge` エンドポイントは、新しいチャレンジを発行するかどうかを判断する際に、同じ行を読み取ります。
同一のOpenReceptionインスタンス内で複数のテナントに同じ `emailHash` が存在する場合（例えば、プラットフォームを共有する2つの異なるクリニックで患者がアカウントを持っている場合）、攻撃者はその患者のメールアドレスを知っているだけで、テナントAに対して失敗したチャレンジ応答を送信することで、テナントBにおいて当該患者の利用をロックアウトできます。攻撃者にテナントBとの直接的な関係は必要なく、このロックアウト状態は共有される制限用レコードを通じて伝播します。繰り返し失敗が発生すると、ロックアウトの程度はエスカレートします。最初のロックアウトは4回の失敗でトリガーされ、約60秒間継続します。その後の失敗により、制限サービスのエスカレーションロジックに従い、ロックアウト期間が5分、30分、そして60分に延長されます。繰り返されるバースト攻撃によって、対象となるメールアドレスに対して持続的なサービス拒否（DoS）が発生します。バージョン1.0.4でこの問題は修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.