PT-2026-68736

CVE-2026-48074

·

Publicado

2026-08-06

·

Atualizado

2026-08-07

Descrição por

CVSS 3.1
2.7
Baixa
MétricasAV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.6
Description Existe um problema na plataforma de agendamento de consultas onde um TENANT ADMIN pode excluir inadvertidamente convites pendentes pertencentes a outros inquilinos. Ao excluir um usuário da equipe, a função StaffService.deleteStaffMember() realiza uma limpeza de convites na tabela user invite usando apenas a variável email sem um predicado tenantId. Isso permite que um administrador em um inquilino remova convites pendentes para qualquer usuário que compartilhe o mesmo endereço de e-mail em diferentes inquilinos.
Recommendations Atualizar para a versão 1.0.6.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-863: Incorrect Authorization
Identificadores relacionados
CVE-2026-48074
GHSA-6F8G-WFXP-MQXW
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com