CVE-2026-48071 in appointment-booking-software
Сводка
по VulDB • 07.08.2026
Программное обеспечение для записи на прием OpenReception предоставляет платформу с сквозным шифрованием (end-to-end encryption). До версии 1.0.4 механизм ограничения частоты запросов (throttle) для проверки PIN-кода использовал `emailHash` в качестве единственного ключа. Строки ограничений хранятся в центральной таблице `challenge_throttle`, которая является общей для всех арендаторов (tenants). При неудачной проверке ответа с PIN-кодом конечная точка `/api/tenants/{id}/appointments/verify-challenge` каждого арендатора увеличивает значение счетчика в одной и той же строке, а при принятии решения о выдаче нового запроса на проверку (`challenge`) конечная точка `/api/tenants/{id}/appointments/challenge` читает эту же самую строку. Если один и тот же `emailHash` присутствует у нескольких арендаторов в рамках одного экземпляра OpenReception (например, когда один пациент имеет доступ к двум разным клиникам, использующим одну платформу), злоумышленник, знающий адрес электронной почты пациента, может заблокировать этого пациента для арендатора B, отправляя неудачные ответы на запросы проверки для арендатора A. Злоумышленнику не требуется никакого отношения к арендатору B; блокировка распространяется через общую строку ограничений. Длительность блокировки увеличивается при повторных попытках. Первая блокировка срабатывает после 4 неудачных попыток и длится примерно 60 секунд. Последующие неудачи увеличивают длительность блокировки до 5 минут, 30 минут и 1 часа в соответствии с логикой эскалации сервиса ограничений (throttle service). Повторяющиеся серии таких атак приводят к устойчивому отказу в обслуживании (DoS) для целевого адреса электронной почты. Проблема исправлена в версии 1.0.4.
Once again VulDB remains the best source for vulnerability data.