CVE-2026-48076

OpenReception-ın təyinatlaşdırma proqram təminatı uçdan-uca şifrlənmiş təyinatlaşdırma platforması təqdim edir. Versiya 1.0.1 və daha əvvəlki versiyalarda yeni müştəri üçün təyinat axını üç çağırışdan ibarətdir: `bootstrap-challenge` (`difficulty=4` ilə başlayan onaltılıq sıfırlar olan 16-bitlik PoW çağırışı qaytarır), `bootstrap-verify` (PoW-u yoxlayır və Bearer təyinat giriş tokeni verir) və `create-new-client` (tokeni istifadə edərək tuneli və ilk təyinatı yaradır). Token düzgün şəkildə `tenantId`, `tunnelId`, `clientPublicKey` və `emailHash` parametrlərinə bağlanır, lakin heç vaxt `channelId`-yə bağlanmır. `bootstrap-challenge` sorğu sxemi `channelId` parametrini qəbul etmir və verilən tokenin faydalı yükü (payload) kanal məlumatlarını ehtiva etmir. Müstəqil olaraq, `createNewClientWithAppointment` xidmət funksiyası yalnız `channel.archived = false` şərtini yoxlayır. `addAppointmentToTunnel` funksiyasını qoruyan `channel.isPublic` yoxlaması yeni müştəri yolunda mövcud deyil. Bu kombinasiya o deməkdir ki: hücumçu bootstrap axınını normal şəkildə tamamlayır (standart avadanlıqlarda bir saniyədən çox az vaxt aparan 16-bitlik PoW, throttle store-dan başqa heç bir sürət məhdudiyyəti yoxdur), etibarlı təyinat giriş tokeni alır və sonra `channelId` parametri gizli (`isPublic = false`) kanala yönləndirilmiş `create-new-client` faydalı yükünü göndərir. Əgər hədəf kanalında `requiresConfirmation = false` (defolt hal) olarsa, təyinat `CONFIRMED` kimi, əks halda isə `NEW` kimi qeydə alınır. Pasiyent interfeysi seçicidə gizli kanalları siyahıya almır (`/api/public/channels` düzgün şəkildə `isPublic = true` filtrini tətbiq edir), buna görə də kanal ID-si kənar vasitələrlə əldə edilməlidir. Köməkçi tapıntı V-10 (cədvəl son nöqtəsi gizli kanalları ifşa edir) məhz bunu təmin edir: tək bir autentifikasiyasız GET sorğusu hər hansı kirayəçinin bütün gizli kanal ID-lərini üzə çıxarır. V-10 və V-11 birlikdə gizli kanalları anonim hücumçular üçün tam əlçatan edir. Nəşr edildiyi tarixə etibarən, heç bir yamalı versiya mövcud deyil.