CVE-2026-54460

OpenReception-ın təyinatlaşdırma proqram təminatı uçdan-uca şifrlənmiş təyinatlaşdırma platforması təqdim edir. Versiya 1.1.1-ə qədər, POST /api/auth/passkeys autentifikasiya olunmuş sessiya olmadan sorğu gövdəsindəki userId və hücumkeş tərəfindən təqdim edilən passkey-i qəbul edir, WebAuthnService.verifyRegistration funksiyasını çağırmır və qeydiyyatı locals.user.id ilə bağlamır. İctimai tenant ID-ni və hədəf personalın e-poçtunu bilən autentifikasiya olunmamış hücumkeş, namizəd userId dəyərlərini əldə etmək üçün ictimai booking bootstrap və GET /api/tenants/[id]/appointments/staff-public-keys ünvanından istifadə edə bilər. Hücumkeş əvvəlcə UserService.addAdditionalPasskey vasitəsilə namizəd userId üçün idarə olunan ictimai açarı saxlayır, sonra isə hədəf e-poçt ilə daxil olmağa cəhd edir; giriş yoxlaması verificationResult.userId-ni e-poçtla müəyyən edilmiş hesabla müqayisə edir və yerləşdirilmiş etibarlılıq məlumatının həmin hədəfə aid olub-olmadığını aşkar edir. Bu "girişdən öncə yerləşdirmə" ardıcıllığının təkrarlanması uyğun userId-ni müəyyən edir və standart giriş nöqtəsi saxlanılan açar üçün hücumkeşin təsdiqini qəbul edərək STAFF sessiyası yaradır. Sessiya tenant məlumatlarını ifşa edə və daha sonrakı ələ keçirmələr üçün TENANT_ADMIN identifikatorlarını üzə çıxara bilər; GLOBAL_ADMIN hesablarına bu tenant miqyaslı yol vasitəsilə çatmaq mümkün deyil. Ələ keçirilmiş TENANT_ADMIN tenant resurslarını və açar paylarını dəyişdirə və ya silə bilər ki, bu da təyinat məlumatlarının daimi olaraq şifrəsinin açıla bilməməsinə və təyinat xidmətlərinin sıradan çıxmasına səbəb ola bilər. Bu problem versiya 1.1.1-də düzəldilib.