CVE-2026-48078

Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.5

Descrição O endpoint não autenticado '/api/tenants/{id}/schedule' retorna todos os canais não arquivados de um locatário, ignorando a flag isPublic. Isso permite a divulgação de canais privados destinados a ficarem ocultos para chamadores públicos, expondo nomes de canais, descrições, IDs, associações de agentes, status de pausa, requisitos de confirmação e disponibilidade de slots computada. Isso ocorre porque o endpoint de agendamento não aplica as mesmas restrições de visibilidade que a função addAppointmentToTunnel().

Recomendações Atualizar para a versão 1.0.5.