CVE-2026-48076

OpenReception'ın randevu rezervasyon yazılımı, uçtan uca şifrelenmiş bir randevu rezervasyon platformu sunar. 1.0.1 ve önceki sürümlerdeki yeni müşteri rezervasyon akışı üç çağrıdan oluşur: `bootstrap-challenge` (`difficulty=4` baştaki onaltılık sıfır ile 16 bitlik bir PoW challenge döndürür), `bootstrap-verify` (PoW'u doğrular ve bir Bearer rezervasyon erişim belirteci düzenler) ve `create-new-client` (belirteci tüketir ve tüneli ve ilk randevuyu oluşturur). Belirteç `tenantId`, `tunnelId`, `clientPublicKey` ve `emailHash` değerlerine doğru şekilde bağlanır, ancak hiçbir zaman `channelId` değerine bağlanmaz. `bootstrap-challenge` istek şeması bir `channelId` değerini kabul bile etmez ve düzenlenen belirtecin yükü hiçbir kanal bilgisi içermez. Bağımsız olarak, `createNewClientWithAppointment` hizmet işlevi yalnızca `channel.archived = false` durumunu denetler. `addAppointmentToTunnel` işlevini koruyan `channel.isPublic` denetimi yeni müşteri yolunda eksiktir. Bu kombinasyon şu anlama gelir: bir saldırgan bootstrap akışını normal şekilde tamamlar (16 bitlik PoW, ticari donanımda bir saniyenin çok altında tamamlanır, throttle deposunun ötesinde hız sınırlaması yoktur), geçerli bir rezervasyon erişim belirteci alır ve ardından `channelId` değeri özel (`isPublic = false`) bir kanala işaret eden `create-new-client` yükünü gönderir. Hedef kanalda `requiresConfirmation = false` (varsayılan) ise rezervasyon `CONFIRMED` olarak, aksi takdirde `NEW` olarak kaydedilir. Hasta arayüzü seçicisinde özel kanalları listelemez (`/api/public/channels` doğru şekilde `isPublic = true` filtreler), bu nedenle kanal kimliği bant dışı yollarla elde edilmelidir. Eşlik eden V-10 bulgusu (schedule uç noktası özel kanalları açığa çıkarır) tam olarak bunu sağlar: tek bir kimlik doğrulamasız GET isteği herhangi bir tenant için tüm özel kanal kimliklerini açığa çıkarır. V-10 ve V-11 birlikte özel kanalları anonim saldırganlar için tamamen erişilebilir kılar. Yayın zamanı itibarıyla bilinen yamalanmış sürüm mevcut değildir.