CVE-2026-48078

OpenReception'ın randevu rezervasyon yazılımı, uçtan uca şifreli bir randevu rezervasyon platformu sunmaktadır. Versiyon 1.0.5 öncesinde, kimlik doğrulaması gerektirmeyen `/api/tenants/{id}/schedule` uç noktası, kanalın `isPublic` bayrağına bakılmaksızın bir kiracıya ait arşivlenmemiş tüm kanalları döndürmektedir. `isPublic = false` olarak işaretlenen kanalların genel çağrılara görünmez olması amaçlanmıştır; kontrol paneli, dahili hizmetleri hasta rezervasyon kullanıcı arayüzünden gizlemek için bunları kasıtlı olarak oluşturur. Schedule uç noktası bu bayrağı tamamen görmezden gelmekte ve kanal adlarını, açıklamalarını, ID'lerini, temsilci ilişkilendirmelerini, duraklatma durumlarını, onay gereksinimlerini ve talep edilen tarih aralığı için hesaplanan boş slot bilgilerini ifşa etmektedir. `addAppointmentToTunnel` fonksiyonu (`eq(channel.isPublic, true)` kuralını uygular) ile schedule uç noktası (uygulamaz) arasındaki asimetri tasarım amacını doğrulamaktadır: özel kanallar, rezervasyon akışında gerçek bir erişim sınırı olarak mevcutken, schedule ifşasında mevcut değildir. Versiyon 1.0.5 bu sorunu gidermektedir.