CVE-2026-48074 in Appointment Booking
Tóm tắt
Bởi VulDB • 07/08/2026
Phần mềm đặt lịch hẹn của OpenReception cung cấp một nền tảng đặt lịch được mã hóa đầu cuối (end-to-end). Trước phiên bản 1.0.6, khi một TENANT_ADMIN xóa người dùng nhân viên hiện có, hàm `StaffService.deleteStaffMember()` ở lớp dưới sẽ chạy thêm quy trình dọn dẹp lời mời, bằng cách xóa từ bảng trung tâm `user_invite` dựa trên địa chỉ email. Mệnh đề `email` không có vị ngữ (predicate) `tenantId`. Do đó, bất kỳ lời mời nào còn chờ xử lý trong mọi tenant chia sẻ cùng địa chỉ email của nhân viên bị xóa đều sẽ bị loại bỏ. Một TENANT_ADMIN thuộc tenant A khi xóa bản ghi nhân viên với địa chỉ email `victim[@]example[.]com` cũng đồng thời xóa lời mời đang chờ cho `victim[@]example[.]com` trong tenant B, mặc dù họ không có mối quan hệ nào với tenant B. Thao tác xóa phía người dùng được giới hạn đúng phạm vi (`eq(user.id, staffId), eq(user.tenantId, tenantId)`), và đường dẫn chỉ xóa lời mời chờ (khi `staffId` chính là ID của một lời mời) cũng được giới hạn theo tenant. Lỗi cụ thể nằm ở quy trình dọn dẹp lời mời chạy như một hiệu ứng phụ khi xóa người dùng nhân viên hiện có. Phiên bản 1.0.6 đã vá lỗi này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.