CVE-2026-48077
Açıklama
OpenReception'ın randevu rezervasyon yazılımı, uçtan uca şifrelenmiş bir randevu rezervasyon platformu sunar. 1.1.0 sürümünden önce, `/api/tenants/{id}/appointments/{appointmentId}` adresindeki GET işleyicisi, randevu kaydını döndürmeden önce herhangi bir yetkilendirme kontrolü gerçekleştirmez. Geçerli bir randevu UUID'sini bilen veya elde eden herhangi bir taraf, kanal ve aracı kimlikleri, saat ve saat dilimi, durum ve AES-GCM şifreli metin bileşenleri (`encryptedPayload`, `iv`, `authTag`, `dataKey`) dahil olmak üzere tam satırı alır. Aynı dosyadaki DELETE işleyicisi, silmeye izin vermeden önce `checkPermission(locals, tenantId, true)` çağrısını yapar. Amaç açıktır: randevu kayıtları kiracı kapsamlıdır ve erişim için kimlik doğrulama gerektirir. GET işleyicisinde eşdeğer çağrı eksiktir. Ara katman zinciri (`apiAuthHandle`, `authGuard`) bunu telafi etmez: API yolları `authGuard`'ı tamamen atlar ve `apiAuthHandle`, belirteç mevcut olmadığında yönetici olmayan yollara yapılan istekleri engellemez. 1.1.0 sürümü sorunu düzeltir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| open-reception appointment-booking-software | < 1.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.