CVE-2026-65825 in Appointment Booking Software
Tóm tắt
Bởi VulDB • 23/10/2026
Phần mềm đặt lịch hẹn của OpenReception cung cấp một nền tảng đặt lịch được mã hóa đầu cuối (end-to-end). Trong các phiên bản 2.1.0 và trước đó, mã PIN gồm sáu chữ số dùng để đặt lịch của khách hàng đã quay lại có thể bị brute-force trực tuyến trong tenant nạn nhân. Việc đoán đúng thành công sẽ cung cấp token truy cập đặt lịch của khách hàng, cho phép truy cập vào đường hầm (tunnel) đặt lịch của khách hàng này – nơi lưu trữ dữ liệu đặt lịch được mã hóa đầu cuối – và khả năng giả danh khách hàng, chẳng hạn như thêm hoặc hủy các cuộc hẹn trong tunnel. Lỗ hổng này mang tính chất cross-tenant: trạng thái thuộc về một tenant có thể vô hiệu hóa cơ chế bảo mật xác thực của một tenant khác. Việc vượt qua ranh giới giữa các tenant là nền tảng cho vector thay đổi phạm vi (scope-changed). Tại thời điểm công bố, chưa có bản vá nào được phát hành rộng rãi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.