CVE-2026-48071

Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.4

Description O controle de tentativas (throttle) de desafio do tipo PIN utiliza o emailHash como chave única em uma tabela central challenge throttle compartilhada entre todos os inquilinos (tenants). Essa arquitetura compartilhada permite que um invasor que conheça o e-mail de um paciente cause a negação de serviço para esse paciente em múltiplos inquilinos. Ao enviar respostas de desafio incorretas para o endpoint /api/tenants/{id}/appointments/verify-challenge de um inquilino, o invasor incrementa uma linha compartilhada que é lida pelo endpoint /api/tenants/{id}/appointments/challenge de outros inquilinos. Isso resulta em um bloqueio cuja duração aumenta de 60 segundos após 4 tentativas malsucedidas, chegando a 60 minutos com falhas repetidas.

Recommendations Atualizar para a versão 1.0.4.