CVE-2026-48080

OpenReception-ın təyinatlaşdırma proqram təminatı uçdan-uca şifrlənmiş təyinatlaşdırma platforması təqdim edir. Versiya 1.0.2-dən əvvəl, `GET /api/tenants/{id}` son nöqtəsi həmin tenant-ın hər hansı autentifikasiya olunmuş `TENANT_ADMIN`-nə, `databaseUrl` sahəsi də daxil olmaqla, tam tenant qeydini qaytarır. Bu sahə tətbiqin həmin tenant-ın verilənlər bazasına qoşulmaq üçün istifadə etdiyi canlı PostgreSQL bağlantı sətrini ehtiva edir. Test edilmiş rəsmi `docker-compose.prod.yml` yerləşdirməsində bağlantı sətiri `rolsuper=true` olan `postgres` istifadəçisini və `secrets/postgres_password.txt` faylındakı açıq mətn şifrəsini ehtiva edirdi. `secrets/postgres_user.txt` vasitəsilə superistifadəçi olmayan PostgreSQL istifadəçisi konfiqurasiya edən operatorlar daha az imtiyazlı etibarnaməni ifşa edərdilər, lakin bağlantı sətirinin özünün ifşası bu seçimdən asılı olmayaraq baş verir. Eyni etibarnamə həmin PostgreSQL instansiyası tərəfindən idarə olunan hər bir verilənlər bazasına tətbiq edilir: mərkəzi `appointment_booking` verilənlər bazası, hər bir tenant üçün ayrılmış verilənlər bazaları və postgres inzibati verilənlər bazası. `postgres:5432` ünvanına çatdırılma imkanı olan (daxili şəbəkə vasitəsilə birbaşa, yaxud tətbiqdəki hər hansı SSRF, RCE və ya fayl oxuma vasitəsilə dolayısı ilə) bir tenant-ın `TENANT_ADMIN`-i digər bütün tenant-ların təyinat şifrləmə mətnlərini, açar hissələrini və metadata-larını oxuya bilər; bütün `GLOBAL_ADMIN` hesabları, şifrə heşləri və sessiya qeydləri daxil olmaqla mərkəzi istifadəçi cədvəlini oxuya bilər; hər hansı tenant verilənlər bazasındakı istənilən məlumatı dəyişdirə və ya silə bilər; və/və ya superistifadəçi səviyyəli yerləşdirmədə verilənlər bazası konteyneri daxilində daha çox imtiyaz artımı üçün PostgreSQL-in `pg_read_server_files`, `COPY ... FROM PROGRAM` və `CREATE EXTENSION` funksiyalarından istifadə edə bilər. Bu, tətbiqdə əsas çarpaz-tenant nəzarət mexanizmi olan hər bir tenant üçün ayrıca verilənlər bazası izolyasiyasını pozur. Tətbiq kodu əksər sorğuları çağıran tenant-ın verilənlər bazası ilə diqqətlə məhdudlaşdırsa da, hücumçu tətbiqi tamamilə yan keçən etibarnamələrə sahib olduqda bu məhdudiyyətlər əhəmiyyətsiz olur. Versiya 1.0.2 bu problemi aradan qaldırır.