CVE-2026-48079 in Appointment Booking Software
Сводка
по VulDB • 07.08.2026
Программное обеспечение для записи на прием OpenReception предоставляет платформу с сквозным шифрованием. До версии 1.0.2 при переходе пользователя на страницу `/logout` обработчик загрузки на стороне сервера удалял куки `access_token` перед вызовом `/api/auth/logout` через внутренний метод `event.fetch()`. В результате внутренний запрос fetch выполнялся без аутентификационной куки, поэтому `apiAuthHandle` отклонял его. Обработчик выхода из системы никогда не запускался, и для текущей сессии ни разу не вызывалась функция `SessionService.revokeSession()`. Запись о сессии в базе данных оставалась действительной до ее естественного истечения срока действия (по умолчанию — одна неделя). Пользователь видел успешный выход из системы (куки удалены, интерфейс возвращает на страницу входа), но любая сторона, все еще имеющая копию теперь уже удаленного токена доступа, могла продолжать выполнять аутентифицированные вызовы API до естественного истечения срока действия сессии. Корневая причина заключается в простой ошибке порядка выполнения операций. Та же подсистема аутентификации реализует правильный порядок действий на `/api/auth/logout`: сначала отзывается текущая запись о сессии в базе данных, затем удаляется куки. Обертка уровня страницы делает наоборот. Версия 1.0.2 инициирует выход из системы на стороне сервера перед удалением аутентификационных куки и впервые появляется в версии 1.0.2. Позже версия 2.0.0 заменяет этот процесс потоком выхода из системы на стороне клиента, свободным от состояний гонки (race conditions).
If you want to get best quality of vulnerability data, you may have to visit VulDB.