CVE-2026-48084

OpenReception'ın randevu rezervasyon yazılımı, uçtan uca şifrelenmiş bir randevu rezervasyon platformu sunar. 1.0.2 öncesi sürümler, başarısız parola ifadesi giriş denemelerini sınırlandırmaz. Bir saldırgan, bilinen herhangi bir e-posta adresine karşı sınırsız sayıda yanlış parola ifadesi tahmini gönderebilir; bu yalnızca Argon2 doğrulama maliyetiyle sınırlıdır (test edilen ana bilgisayarda deneme başına yaklaşık 100 milisaniye, yani sürdürülebilir biçimde saniyede 10 deneme). Aynı arka uç, WebAuthn challenge uç noktasında çalışan bir hesap başına sınırlandırma uygular ve bu uç nokta yaklaşık 19 denemeden sonra HTTP 429 döndürür. Parola ifadesi dalı bu sınırlandırmayı basitçe çağırmaz ve desteklenen yüksek değerli bir giriş yolunu kimlik bilgisi doldurma ve sözlük saldırılarına karşı korumasız bırakır. Bu asimetri, bunun bir tasarım tercihi değil bir gözden kaçırma olduğunu doğrular. Sınırlandırma altyapısı mevcuttur, aynı kimlik doğrulama arka ucuna bağlanmıştır ve WebAuthn yolunda çalışır. `/api/auth/login` içindeki parola ifadesi dalı, başarısız denemeleri kaydetmek üzere güncellenmemiştir. Uygulamanın minimum parola ifadesi politikasıyla (12 karakter, entropi veya sözlük kontrolü yok) birleştiğinde, `Spring2026!XX` gibi yaygın temel kalıpları veya sızıntı bütüncesindeki sözcükleri kullanan hesaplara tek bir CPU'da günler içinde, küçük bir GPU çiftliğinde saatler içinde gerçekçi olarak ulaşılabilir. Sürüm 1.0.2 sorunu yamalar.