CVE-2026-48076

Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.1

Description O fluxo de agendamento de novos clientes falha ao validar se um canal é público ao criar um agendamento de novo cliente. O processo envolve três chamadas: bootstrap-challenge, bootstrap-verify e create-new-client. Embora o token de acesso de agendamento Bearer emitido esteja vinculado a vários identificadores, ele não está vinculado ao channelId. Além disso, a função createNewClientWithAppointment() verifica apenas se o canal não está arquivado, omitindo a verificação de channel.isPublic presente em outros caminhos. Isso permite que um invasor obtenha um token válido e envie um payload create-new-client com um channelId pertencente a um canal privado. Se o canal privado estiver com requiresConfirmation definido como false, o agendamento é automaticamente confirmado. Este problema é agravado por uma falha separada onde uma requisição GET não autenticada ao endpoint de agendamento revela IDs de canais privados.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.