CVE-2026-48079 in Appointment Booking Software
要約
〜によって VulDB • 2026年08月07日
OpenReceptionの予約管理ソフトウェアは、エンドツーエンドで暗号化された予約プラットフォームを提供しています。バージョン1.0.2より前では、ユーザーが`/logout`ページにアクセスすると、ページのサーバーサイドロードハンドラーが内部の`event.fetch()`を介して`/api/auth/logout`を呼び出す前に`access_token`クッキーを削除します。その結果、内部フェッチは認証クッキーなしで実行されるため、`apiAuthHandle`によって拒否され、ログアウトハンドラーが決して実行されず、現在のセッションに対して`SessionService.revokeSession()`も呼び出されません。データベースのセッション行は、自然な有効期限（デフォルトでは1週間）まで有効のままになります。ユーザーには正常にログアウトしたように見えます（クッキーが消え、UIがログイン画面に戻りますが）、現在削除されたアクセストークンのコピーを保持している任意の当事者は、セッションが自然に失効するまで認証済みAPI呼び出しを引き続き実行できます。根本原因は単純な順序ミスです。同じ認証サブシステムでは`/api/auth/logout`で正しい順序を実装しており、まず現在のデータベースセッションを取り消し、その後クッキーを削除します。ページレベルのラッパーはその逆を行っています。バージョン1.0.2では、認証クッキーを削除する前にサーバーサイドログアウトを開始し、これはバージョン1.0.2で初めて登場しました。バージョン2.0.0以降は、これに代わって競合状態のないクライアントサイドのログアウトフローを採用しています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.