CVE-2026-48080

OpenReception'ın randevu rezervasyon yazılımı, uçtan uca şifrelenmiş bir randevu rezervasyon platformu sunar. 1.0.2 sürümünden önce, `GET /api/tenants/{id}` uç noktası, o kiracının kimliği doğrulanmış herhangi bir `TENANT_ADMIN` kullanıcısına `databaseUrl` alanı da dahil olmak üzere tam kiracı kaydını döndürür. Bu alan, uygulamanın o kiracının veritabanına bağlanmak için kullandığı canlı PostgreSQL bağlantı dizesini içerir. Test edilen resmi `docker-compose.prod.yml` dağıtımında, bağlantı dizesi `rolsuper=true` olan `postgres` kullanıcısını ve `secrets/postgres_password.txt` dosyasındaki düz metin parolayı içeriyordu. `secrets/postgres_user.txt` aracılığıyla süper kullanıcı olmayan bir PostgreSQL kullanıcısı yapılandıran operatörler daha az ayrıcalıklı bir kimlik bilgisi açığa çıkarırdı, ancak bağlantı dizesinin kendisinin ifşası bu seçimden bağımsızdır. Aynı kimlik bilgisi, o PostgreSQL örneği tarafından yönetilen her veritabanı için geçerlidir: merkezi `appointment_booking` veritabanı, her kiracı başına veritabanı (kiracı başına bir tane) ve postgres yönetim veritabanı. `postgres:5432` adresine ulaşabilen (doğrudan iç ağ üzerinden, dolaylı olarak uygulamadaki herhangi bir SSRF, RCE veya dosya okuma yoluyla) bir kiracının `TENANT_ADMIN` kullanıcısı, diğer tüm kiracıların randevu şifreli metinlerini, anahtar paylaşımlarını ve üst verilerini okuyabilir; tüm `GLOBAL_ADMIN` hesapları, parola karmaları ve oturum kayıtları dahil olmak üzere merkezi kullanıcı tablosunu okuyabilir; herhangi bir kiracı veritabanındaki herhangi bir veriyi değiştirebilir veya silebilir; ve/veya süper kullanıcı kapsamlı bir dağıtımda: veritabanı konteyneri içinde daha ileri yetki yükseltme için PostgreSQL'in `pg_read_server_files`, `COPY ... FROM PROGRAM` ve `CREATE EXTENSION` özelliklerini kullanabilir. Bu, aksi takdirde uygulamadaki birincil kiracılar arası kontrol olan kiracı başına veritabanı yalıtımını bozar. Uygulama kodu çoğu sorguyu çağıran kiracının veritabanıyla dikkatlice sınırlandırır, ancak saldırgan uygulamayı tamamen atlatan kimlik bilgilerini elinde tuttuğunda bu sınırlandırmalar önemsiz hale gelir. 1.0.2 sürümü sorunu düzeltir.