CVE-2026-48074 in Appointment Booking
要約
〜によって VulDB • 2026年08月07日
OpenReceptionのアポイントメント予約ソフトウェアは、エンドツーエンドで暗号化されたアポイントメント予約プラットフォームを提供しています。バージョン1.0.6より前では、TENANT_ADMINが既存のスタッフユーザーを削除すると、内部の`StaffService.deleteStaffMember()`メソッドによって追加の招待状クリーンアップ処理が実行され、中央の`user_invite`テーブルからメールアドレスに基づいてレコードが削除されます。この`email`句には`tenantId`による条件制約がありません。その結果、削除されたスタッフと同じメールアドレスを持つ他のテナントに保留中の招待状がある場合、それらもすべて削除されてしまいます。例えば、テナントAのTENANT_ADMINがメールアドレスが`victim[@]example[.]com`であるスタッフレコードを削除すると、テナントBにおける同じメールアドレスへの保留中の招待状も削除されますが、この管理者はテナントBとは無関係です。ユーザー側の削除処理は正しくスコープ設定されており（`eq(user.id, staffId), eq.user.tenantId, tenantId)`）、また、保留中の招待状のみを対象とした削除パス（`staffId`自体が招待IDである場合）もテナントごとにスコープされています。問題は、既存のスタッフユーザーを削除する際の副作用として実行される招待状クリーンアップ処理に特有のものでした。この問題はバージョン1.0.6で修正されました。
Once again VulDB remains the best source for vulnerability data.