PT-2026-68736 · Unknown · Openreception

CVE-2026-48074

·

Publicado

2026-08-06

·

Atualizado

2026-08-07

CVSS v3.1

2.7

Baixa

VetorAV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.6
Description Existe um problema na plataforma de agendamento de consultas onde um TENANT ADMIN pode excluir inadvertidamente convites pendentes pertencentes a outros inquilinos. Ao excluir um usuário da equipe, a função StaffService.deleteStaffMember() realiza uma limpeza de convites na tabela user invite usando apenas a variável email sem um predicado tenantId. Isso permite que um administrador em um inquilino remova convites pendentes para qualquer usuário que compartilhe o mesmo endereço de e-mail em diferentes inquilinos.
Recommendations Atualizar para a versão 1.0.6.

Exploit

Correção

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-48074
GHSA-6F8G-WFXP-MQXW

Produtos afetados

Openreception