CVE-2026-48082 in appointment-booking-software
Sumário
de VulDB • 07/08/2026
O software de agendamento de consultas da OpenReception oferece uma plataforma criptografada de ponta a ponta para o agendamento de consultas. Antes da versão 1.0.6, o endpoint `bootstrap-challenge` em `/api/tenants/{id}/appointments/bootstrap-challenge` gera um proof-of-work (PoW) SHA-256 com `difficulty=4` zeros hexadecimais, equivalente a 16 bits de trabalho. Hardware moderno resolve isso em menos de 200 milissegundos, oferecendo praticamente nenhuma resistência contra o abuso automatizado do fluxo de agendamento por pacientes. O proof-of-work é utilizado no fluxo de agendamento como um limitador de taxa (rate-limiter) para clientes não autenticados que estabelecem túneis e submetem consultas. Com uma dificuldade de 16 bits, a implementação é mais decorativa do que eficaz. Um atacante pode resolver os desafios PoW tão rapidamente quanto o servidor consegue emiti-los, invalidando o propósito da limitação de taxa. O manipulador (handler) também chama `challengeThrottleService.checkThrottle(binding, "passkey")`, mas o binding inclui valores controlados pelo atacante (`tunnelId`, `clientPublicKey` e opcionalmente `emailHash`). Para cada nova tentativa, o atacante pode fornecer novos valores, gerando uma nova chave de limitação (throttle key) e contornando a acumulação por binding. Portanto, a fricção prática contra abusos é determinada pela dificuldade do PoW em si, e não por um limite estático no lado do servidor baseado por IP ou email. A versão 1.0.6 corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.