CVE-2026-48084

OpenReception-ın təyinatlaşdırma proqram təminatı uçdan-uca şifrlənmiş təyinatlaşdırma platforması təqdim edir. 1.0.2 versiyasından əvvəlki versiyalarda uğursuz şifrə daxiletmə cəhdləri üçün məhdudiyyət (throttle) tətbiq edilmir. Hücumçu hər hansı məlum e-poçt ünvanına qarşı limitsiz sayda yanlış şifrə təxminləri göndərə bilər və bu yalnız Argon2 yoxlama xərcləri ilə məhdudlaşır (test edilən hostda cəhd başına təxminən 100 millisaniyə, bu da saniyədə davamlı olaraq 10 cəhd deməkdir). Eyni backend WebAuthn challenge son nöqtəsində (endpoint) hesab başına işlək məhdudiyyət tətbiq edir ki, bu da təxminən 19 cəhddən sonra HTTP 429 cavabını qaytarır. Şifrə budağı həmin məhdudiyyəti çağırmır, bu da dəstəklənən yüksək dəyərli giriş yolunu "credential stuffing" və lüğət hücumlarına qarşı qorumasız qoyur. Bu asimmetriya bunun dizayn seçimi deyil, səhv olduğunu təsdiqləyir. Məhdudiyyət infrastrukturu mövcuddur, eyni autentifikasiya backend-inə qoşulub və WebAuthn yolunda işləyir. `/api/auth/login` ünvanındakı şifrə budağı uğursuz cəhdləri qeydə almaq üçün yenilənməmişdir. Tətbiqin minimum şifrə siyasəti (12 simvol, entropiya və ya lüğət yoxlamaları yoxdur) ilə birlikdə, `Spring2026!XX` kimi ümumi baza nümunələri və ya sızdırılmış korpusdakı sözlərdən istifadə edən hesablar tək bir CPU ilə günlər ərzində, kiçik bir GPU ferması ilə isə saatlar ərzində real olaraq əldə edilə bilər. Versiya 1.0.2 bu problemi aradan qaldırır.