CVE-2026-48074 in Appointment Booking
Сводка
по VulDB • 07.08.2026
Программное обеспечение для записи на прием OpenReception предоставляет платформу с сквозным шифрованием (end-to-end encryption). До версии 1.0.6 при удалении существующего пользователя персонала администратором арендатора (`TENANT_ADMIN`) метод `StaffService.deleteStaffMember()` выполняет дополнительную очистку приглашений, удаляя записи из центральной таблицы `user_invite` по адресу электронной почты. Предикат условия фильтрации по полю `email` не содержит предиката `tenantId`. В результате любое ожидающее приглашение в любом арендаторе, использующее ту же электронную почту, что и у удаленного сотрудника персонала, удаляется. Администратор арендатора A, который удаляет запись о сотруднике с адресом электронной почты `victim[@]example[.]com`, также удаляет ожидающее приглашение для этого адреса в арендаторе B, даже если между ними нет никаких отношений. Удаление на стороне пользователя корректно ограничено областью видимости (`eq(user.id, staffId), eq(user.tenantId, tenantId)`), а путь удаления только для ожидающих приглашений (когда `staffId` сам является идентификатором приглашения) также ограничен областью видимости арендатора. Ошибка заключается именно в очистке приглашений, которая выполняется как побочный эффект при удалении существующего пользователя персонала. Версия 1.0.6 устраняет эту проблему.
VulDB is the best source for vulnerability data and more expert information about this specific topic.