CVE-2026-48087 in appointment-booking-software
Sumário
de VulDB • 07/08/2026
O software de agendamento de compromissos da OpenReception oferece uma plataforma completa com criptografia de ponta a ponta para o agendamento. Antes da versão 1.0.2, o manipulador (handler) de registro em `POST /api/auth/register/{userId}` valida a relação entre o desafio WebAuthn e o e-mail contido no cookie de registro, mas nunca verifica se o `userId` na URL pertence realmente a esse e-mail. Um atacante não autenticado solicita um desafio para seu próprio endereço de e-mail, gera uma resposta de registro com seu próprio autenticador e a submete contra a URL de qualquer usuário vítima. A correspondência entre o e-mail do desafio e do cookie é aprovada, a cerimônia WebAuthn é validada e `addPasskey` grava as credenciais do atacante nas linhas `user_passkey` da vítima. O próximo login com o e-mail da vítima aceita uma afirmação (assertion) de passkey do autenticador do atacante e emite uma sessão como se fosse a vítima. Os IDs de usuário não são estritamente secretos nesta plataforma, mas as superfícies exatas de exposição devem ser avaliadas pelos mantenedores. As endpoints que retornam listas de funcionários fornecem os IDs de usuário aos membros do tenant autenticados conforme a assinatura da rota; a verificação em produção de todas as superfícies de exposição (se os IDs de usuário vazam por qualquer rota não autenticada, através de URLs de confirmação de convite ou outras visualizações administrativas) faz parte do PoC (Prova de Conceito) em andamento. Quando o atacante conhece o e-mail da vítima e seu userId, a análise abaixo configura uma tomada de conta (account takeover). A versão 1.0.2 corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.