CVE-2026-48082

OpenReception-ın təyinatlaşdırma proqram təminatı uçdan-uca şifrələnmiş təyinatlaşdırma platforması təqdim edir. Versiya 1.0.6-ya qədər, `/api/tenants/{id}/appointments/bootstrap-challenge` ünvanındakı bootstrap challenge son nöqtəsi (endpoint), 16 bitlik işə ekvivalent olan `difficulty=4` onaltılıq sıfırlarla SHA-256 proof-of-work tələb edir. Müasir aparat təminatları bunu 200 millisaniyədən daha qısa müddətə həll edir ki, bu da pasiyent təyinat axınının avtomatlaşdırılmış sui-istifadəsinə qarşı əslində heç bir maneə yaratmır. Proof-of-work, tunellər quran və təyinatlar göndərən autentifikasiya olunmamış kliyentlər üçün sürət məhdudiyyəti (rate-limiter) kimi istifadə olunur. 16 bit çətinlik dərəcəsində bu struktur effektiv olmaqdan çox dekorativdir. Hücumçu PoW çağırışlarını server onları təqdim etdiyi sürətlə həll edə bilər və beləliklə sürət məhdudiyyəti məqsədini sıradan çıxara bilər. Həmçinin handler `challengeThrottleService.checkThrottle(binding, "passkey")` funksiyasını çağırır, lakin binding hücumçunun idarə etdiyi dəyərləri (`tunnelId`, `clientPublicKey` və opsional `emailHash`) ehtiva edir. Hər yeni cəhd üçün hücumçu yeni dəyərlər təqdim edərək yeni throttle açarı yarada və hər bir binding üzrə yığılmanı bypass edə bilər. Buna görə də praktiki sui-istifadə maneəsi sabit IP və ya email üzrə server tərəfli throttle deyil, PoW-un öz çətinlik dərəcəsidir. Versiya 1.0.6 bu problemi aradan qaldırır.