CVE-2026-48079

OpenReception-ın təyinatlaşdırma proqram təminatı uçdan-uca şifrlənmiş təyinatlaşdırma platforması təqdim edir. Versiya 1.0.2-dən əvvəl, istifadəçi `/logout` səhifəsinə keçdikdə, səhifənin server tərəfli yükləmə idarəçisi daxili `event.fetch()` vasitəsilə `/api/auth/logout` çağırılmamışdan əvvəl `access_token` kukisini silir. Nəticədə, daxili fetch sorğusu autentifikasiya kukisi olmadan icra olunur, buna görə də `apiAuthHandle` onu rədd edir, çıxış idarəçisi heç vaxt işləmir və cari sessiya üçün `SessionService.revokeSession()` heç vaxt çağırılmır. Verilənlər bazasındakı sessiya sətri təbii müddəti bitənə qədər (defolt olaraq bir həftə) etibarlı qalır. İstifadəçi uğurlu çıxışı görür (kuki silinib, interfeys giriş səhifəsinə qayıdır), lakin artıq silinmiş giriş tokeninin surətinə sahib olan hər hansı tərəf sessiyanın müddəti təbii şəkildə bitənə qədər autentifikasiya olunmuş API sorğuları göndərməyə davam edə bilər. Problemin kökü sadə ardıcıllıq xətasıdır. Eyni autentifikasiya alt sistemi `/api/auth/logout` hissəsində düzgün ardıcıllığı tətbiq edir: əvvəlcə verilənlər bazasındakı cari sessiyanı ləğv edir, sonra kukini silir. Səhifə səviyyəli paket isə bunun əksini edir. Versiya 1.0.2 autentifikasiya kukilərini silməzdən əvvəl server tərəfli çıxışı başladır və ilk dəfə versiya 1.0.2-də görünür. Daha sonra versiya 2.0.0 bunu yarış şərtindən (race condition) azad klient tərəfli çıxış axını ilə əvəz edir.