CVE-2026-48085

OpenReception-in görüşmə rezervasiyası proqramı uçdan-uca şifrələnmiş görüş rezervasiyası platforması təqdim edir. 1.0.1 versiyasından əvvəl tam quraşdırılmış OpenReception instansiyası `/setup/create-admin-account` ünvanına autentifikasiyasız POST sorğularını qəbul edir və adminin artıq mövcud olduğunu yoxlamadan əlavə GLOBAL_ADMIN hesabları yaradır. Eyni mənşəli form POST göndərə bilən istənilən autentifikasiyasız şəbəkə hücumçusu tam platforma səviyyəsində inzibati nəzarət əldə edir. Yeni yaradılan hesab `is_active=true` və `confirmation_state=ACCESS_GRANTED` vəziyyətindədir və e-poçt təsdiqinin tamamlanmasını tələb etmir; GLOBAL_ADMIN sətri aktiv yaradılır və dərhal istifadə oluna bilir. Giriş və tenantların sadalanması heç bir əlavə qarşılıqlı əlaqə olmadan uğurla həyata keçirilir. Bu, artıq `Claiming an instance` səhifəsində sənədləşdirilmiş yerləşdirmə yarış vəziyyətindən fərqlidir. Həmin sənədləşdirilmiş yarış yerləşdirmə ilə ilk iddia arasındakı pəncərəni əhatə edir. Burada bildirilən səhv operatorun instansiyanı düzgün şəkildə iddia edib konfiqurasiya etdikdən sonra işləyir: quraşdırma səhifəsini qoruyan layout səviyyəsindəki qoruyucu yalnız GET zamanı yönləndirir, `default` form əməliyyatı işləyicisi isə `adminExists()` funksiyasını yenidən yoxlamadan istifadəçini yaradır. Test zamanı ardıcıl olaraq üç GLOBAL_ADMIN hesabı yaradılmış və heç bir məhdudiyyət (rate limiting) müşahidə edilməmişdir. Standart tətbiq jurnallarından əlavə auditə xas hadisə jurnalının aparılması qiymətləndirilməmişdir; yalnız unikallıq konflikti baş verdikdə ortaya çıxan standart `[error]` sətri "iddiadan sonra əlavə admin yaradıldı" üçün təhlükəsizlik hadisəsi ilə eyni deyil. Form POST brauzer vasitəsilə drive-by CSRF üçün SvelteKit-in daxili eyni mənşə yoxlaması tərəfindən rədd edilir, lakin uyğun `Origin` başlığı təqdim edən istənilən alət (curl, Burp, avtomatlaşdırılmış skanerlər, server tərəfli proksilər) bunu asanlıqla keçir. Əlavə ilkin şərt yoxdur. İstifadəçilər yamağı almaq üçün 1.0.1 versiyasına yüksəltməlidirlər.