CVE-2026-48079

OpenReception'ın randevu rezervasyon yazılımı, uçtan uca şifreli bir randevu rezervasyon platformu sunmaktadır. Versiyon 1.0.2 öncesinde, bir kullanıcı `/logout` sayfasına gittiğinde, sayfanın sunucu tarafındaki yükleme yöneticisi, dahili bir `event.fetch()` aracılığıyla `/api/auth/logout` adresini çağırmadan önce `access_token` çerezini silmektedir. Sonuç olarak dahili fetch işlemi kimlik doğrulama çerezi olmadan çalışmakta, bu nedenle `apiAuthHandle` isteği reddetmekte, çıkış yöneticisi hiçbir zaman yürütülmemekte ve mevcut oturum için `SessionService.revokeSession()` hiçbir zaman çağrılmamaktadır. Veritabanı oturum satırı, doğal sona erme süresine kadar (varsayılan olarak bir hafta) geçerli kalmaya devam etmektedir. Kullanıcı başarılı bir çıkış işlemi görmesine rağmen (çerez silinmiş, kullanıcı arayüzü giriş ekranına dönmüş), halihazırda silinmiş olan erişim jetonunun bir kopyasını elinde tutan herhangi bir taraf, oturum doğal olarak sona erene kadar kimliği doğrulanmış API çağrıları yapmaya devam edebilmektedir. Kök neden basit bir sıralama hatasıdır. Aynı kimlik doğrulama alt sistemi, `/api/auth/logout` içerisinde doğru sıralamayı uygulamaktadır: önce mevcut veritabanı oturumu iptal edilir, ardından çerez silinir. Sayfa düzeyindeki sarmalayıcı ise bunun tersini yapmaktadır. Versiyon 1.0.2, kimlik doğrulama çerezlerini kaldırmadan önce sunucu tarafında çıkış işlemini başlatmaktadır ve ilk kez versiyon 1.0.2'de görülmüştür. Versiyon 2.0.0 daha sonra bunu yarış durumundan arındırılmış istemci tarafı çıkış akışı ile değiştirmiştir.