CVE-2026-48085

OpenReception'ın randevu rezervasyon yazılımı, uçtan uca şifrelenmiş bir randevu rezervasyon platformu sunar. 1.0.1 sürümünden önce, tam olarak yapılandırılmış bir OpenReception örneği, `/setup/create-admin-account` adresine kimlik doğrulaması yapılmamış POST isteklerini kabul eder ve bir yöneticinin zaten var olup olmadığını doğrulamadan ek GLOBAL_ADMIN hesapları oluşturur. Aynı kaynaklı bir form POST gönderebilen herhangi bir kimlik doğrulaması yapılmamış ağ saldırganı, tam platform düzeyinde yönetici kontrolü elde eder. Yeni oluşturulan hesap `is_active=true` ve `confirmation_state=ACCESS_GRANTED` durumundadır ve e-posta onayının tamamlanmasını gerektirmez; GLOBAL_ADMIN satırı etkin olarak oluşturulur ve hemen kullanılabilir. Oturum açma ve kiracı numaralandırma, başka herhangi bir etkileşim olmadan başarılı olur. Bu, `Claiming an instance` sayfasında zaten belgelenmiş olan dağıtım yarış durumundan farklıdır. Belgelenen bu yarış, dağıtım ile ilk sahiplenme arasındaki pencereyi kapsar. Burada bildirilen hata, operatör örneği düzgün şekilde sahiplenip yapılandırdıktan sonra çalışır: kurulum sayfasını koruyan düzen düzeyindeki koruma yalnızca GET isteklerinde yönlendirme yapar, oysa `default` form eylem işleyicisi `adminExists()` işlevini yeniden kontrol etmeden kullanıcıyı oluşturur. Test sırasında art arda üç GLOBAL_ADMIN hesabı oluşturulmuş ve herhangi bir hız sınırlaması gözlemlenmemiştir. Standart uygulama günlüklerinin ötesinde denetime özgü olay günlüklemesi değerlendirilmemiştir; yalnızca bir benzersizlik çakışmasıyla karşılaşıldığında ortaya çıkan standart `[error]` satırı, "sahiplenme sonrası ek yönetici oluşturuldu" için bir güvenlik olayıyla aynı şey değildir. Form POST'u, tarayıcı üzerinden sürükleme CSRF saldırıları için SvelteKit'in yerleşik aynı kaynak kontrolü tarafından reddedilir, ancak eşleşen bir `Origin` başlığı sağlayan herhangi bir araç (curl, Burp, otomatik tarayıcılar, sunucu tarafı proxy'ler) bunu kolayca atlatır. Ek ön koşul yoktur. Kullanıcılar bir yama almak için 1.0.1 sürümüne yükseltme yapmalıdır.