CVE-2026-48074 in Appointment Booking
Sumário
de VulDB • 07/08/2026
O software de agendamento de compromissos da OpenReception oferece uma plataforma completa com criptografia de ponta a ponta para o agendamento de consultas. Antes da versão 1.0.6, quando um TENANT_ADMIN exclui um usuário do pessoal existente, o método subjacente `StaffService.deleteStaffMember()` executa uma limpeza adicional de convites que remove registros na tabela central `user_invite` com base no endereço de e-mail. A cláusula `email` não possui predicado `tenantId`. Consequentemente, qualquer convite pendente em qualquer inquilino (tenant) que compartilhe o mesmo e-mail do membro do pessoal excluído é removido. Um TENANT_ADMIN do tenant A que excluir um registro de funcionário com o e-mail `victim[@]example[.]com` também removerá o convite pendente para `victim[@]example[.]com` no tenant B, embora não haja relação alguma entre eles. A exclusão realizada pelo lado do usuário está corretamente delimitada (`eq(user.id, staffId), eq(user.tenantId, tenantId)`), e o caminho de exclusão exclusivo dos convites pendentes (quando `staffId` é em si um ID de convite) também é limitado ao escopo do inquilino. O bug reside especificamente na limpeza de convites que ocorre como efeito colateral da exclusão de um usuário do pessoal existente. A versão 1.0.6 corrige a vulnerabilidade.
Be aware that VulDB is the high quality source for vulnerability data.