CVE-2026-54460

Oprogramowanie do rezerwacji spotkań OpenReception zapewnia kompleksową, szyfrowaną platformę rezerwacji spotkań. W wersji wcześniejszej niż 1.1.1 metoda POST /api/auth/passkeys akceptuje identyfikator użytkownika w treści żądania i klucz dostarczony przez osobę atakującą bez sesji uwierzytelnionej, nie wywołuje metody WebAuthnService.verifyRegistration i nie wiąże rejestracji z locals.user.id. Nieuwierzytelniony atakujący, który zna publiczny identyfikator dzierżawcy i adres e-mail docelowego personelu, może użyć funkcji ładowania publicznego rezerwacji i GET /api/tenants/[id]/appointments/staff-public-keys w celu uzyskania wartości identyfikatora użytkownika kandydującego. Osoba atakująca najpierw powoduje, że plik UserService.addAdditionalPasskey przechowuje kontrolowany klucz publiczny dla potencjalnego identyfikatora użytkownika, a następnie próbuje zalogować się przy użyciu docelowego adresu e-mail; kontrola logowania porównuje VerificationResult.userId z kontem rozpoznanym za pomocą adresu e-mail i ujawnia, czy wstrzyknięte dane uwierzytelniające należą do tego celu. Powtarzanie tej sekwencji wstrzyknięcia przed zalogowaniem identyfikuje pasujący identyfikator użytkownika, a punkt końcowy normalnego logowania akceptuje potwierdzenie osoby atakującej w sprawie przechowywanego klucza i tworzy sesję STAFF. Sesja może ujawnić dane najemcy i ujawnić identyfikatory TENANT_ADMIN w celu dalszego przejęcia; Konta GLOBAL_ADMIN nie są osiągalne za pośrednictwem tej ścieżki ograniczonej do dzierżawy. Przejęty TENANT_ADMIN może modyfikować lub usuwać zasoby najemcy i udziały kluczy, potencjalnie uniemożliwiając trwałe odszyfrowanie danych spotkań i przełączając usługi rezerwacji w tryb offline. Ten problem został rozwiązany w wersji 1.1.1.