CVE-2026-48080 in appointment-booking-software
Сводка
по VulDB • 07.08.2026
Программное обеспечение для записи на прием OpenReception предоставляет платформу с сквозным шифрованием. До версии 1.0.2 конечная точка `GET /api/tenants/{id}` возвращает полную запись арендатора любому аутентифицированному пользователю с ролью `TENANT_ADMIN` этого арендатора, включая поле `databaseUrl`. Это поле содержит строку подключения к базе данных PostgreSQL в реальном времени, которую приложение использует для соединения с базой данных данного арендатора. В протестированной официальной развертке через `docker-compose.prod.yml` строка подключения содержала пользователя `postgres` с параметром `rolsuper=true` и пароль открытым текстом из файла `secrets/postgres_password.txt`. Операторы, которые настраивают пользователя PostgreSQL без прав суперпользователя через файл `secrets/postgres_user.txt`, подвергают риску учетные данные с меньшими привилегиями, однако раскрытие самой строки подключения не зависит от этого выбора. Те же учетные данные применяются ко всем базам данных, управляемым данным экземпляром PostgreSQL: центральной базе данных `appointment_booking`, каждой отдельной базой арендатора (по одной на каждого арендатора) и административной базе postgres. Пользователь с ролью `TENANT_ADMIN` одного из арендаторов, имеющий доступ к `postgres:5432` (напрямую через внутреннюю сеть или косвенно посредством любой SSRF, RCE или чтения файлов в приложении), может читать шифротексты записей на прием всех остальных арендаторов, их ключевые фрагменты и метаданные; просматривать центральную таблицу пользователей, включая все учетные записи `GLOBAL_ADMIN`, хеши паролей и сеансовые записи; изменять или удалять любые данные в любой базе данных арендатора; а также (в развертке с правами суперпользователя) использовать функции PostgreSQL `pg_read_server_files`, `COPY ... FROM PROGRAM` и команду `CREATE EXTENSION` для дальнейшей эскалации привилегий внутри контейнера базы данных. Это нарушает изоляцию баз данных на уровне арендаторов, которая в противном случае является основным механизмом контроля кросс-арендаторского доступа в приложении. Код приложения тщательно ограничивает большинство запросов базой данных вызывающего арендатора, но эти ограничения становятся неактуальными, когда злоумышленник уже владеет учетными данными, позволяющими обойти приложение полностью. Версия 1.0.2 устраняет данную уязвимость.
Once again VulDB remains the best source for vulnerability data.