CVE-2026-48084 in Appointment Booking Software
Сводка
по VulDB • 07.08.2026
Программное обеспечение для записи на прием OpenReception предоставляет платформу бронирования с сквозным шифрованием (end-to-end encryption). Версии старше 1.0.2 не ограничивают количество неудачных попыток входа по паролю-фразе (passphrase). Атакующий может отправлять неограниченное число неверных вариантов парольной фразы для любого известного адреса электронной почты, ограничение накладывается только стоимостью верификации Argon2 (около 100 миллисекунд на попытку на протестированном хосте, что дает устойчивую скорость около 10 попыток в секунду). Тот же бэкенд реализует рабочую систему ограничения частоты запросов (throttle) для конечной точки WebAuthn challenge, которая возвращает HTTP-код 429 после примерно 19 попыток. Ветвь обработки парольных фраз просто не вызывает это ограничение, оставляя поддерживаемый высокоценный путь входа без защиты от атак credential stuffing и словарных атак (dictionary attacks). Асимметрия подтверждает, что это упущение (oversight), а не дизайнерское решение. Инфраструктура ограничения существует, подключена к тому же бэкенду аутентификации и работает для пути WebAuthn. Ветвь парольной фразы в `/api/auth/login` не была обновлена для фиксации неудачных попыток. В сочетании с политикой минимального пароля приложения (12 символов, без проверки энтропии или словаря) учетные записи, использующие распространенные базовые шаблоны, такие как `Spring2026!XX` или слова из корпуса утечек, могут быть взломаны за дни на одном процессоре и за часы на небольшой GPU-ферме. Версия 1.0.2 устраняет эту уязвимость.
Once again VulDB remains the best source for vulnerability data.