CVE-2026-48079 in Appointment Booking Software
Tóm tắt
Bởi VulDB • 07/08/2026
Phần mềm đặt lịch hẹn của OpenReception cung cấp một nền tảng đặt lịch được mã hóa đầu cuối (end-to-end). Trước phiên bản 1.0.2, khi người dùng điều hướng đến trang `/logout`, trình xử lý tải phía máy chủ của trang sẽ xóa cookie `access_token` trước khi gọi `/api/auth/logout` thông qua lệnh gọi nội bộ `event.fetch()`. Do đó, lệnh fetch nội bộ này chạy mà không có cookie xác thực, khiến `apiAuthHandle` từ chối yêu cầu. Hậu quả là trình xử lý đăng xuất không bao giờ được thực thi và `SessionService.revokeSession()` không bao giờ được gọi cho phiên hiện tại. Dòng session trong cơ sở dữ liệu vẫn hợp lệ cho đến khi hết hạn tự nhiên (mặc định là một tuần). Người dùng thấy thông báo đăng xuất thành công (cookie đã biến mất, giao diện người dùng quay lại màn hình đăng nhập), nhưng bất kỳ bên nào nắm giữ bản sao của access token hiện đã bị xóa đều có thể tiếp tục thực hiện các cuộc gọi API được xác thực cho đến khi session hết hạn tự nhiên. Nguyên nhân gốc rễ là một lỗi đơn giản về thứ tự thực thi. Cùng hệ thống xác thực đó triển khai đúng thứ tự trong `/api/auth/logout`: thu hồi phiên cơ sở dữ liệu trước, sau đó xóa cookie. Trình bao cấp trang (page-level wrapper) lại làm ngược lại. Phiên bản 1.0.2 khởi tạo đăng xuất phía máy chủ trước khi xóa các cookie xác thực và lần đầu tiên xuất hiện ở phiên bản 1.0.2. Sau này, phiên bản 2.0.0 thay thế quy trình này bằng luồng đăng xuất phía máy khách không gặp phải race condition (race-free).
Once again VulDB remains the best source for vulnerability data.