CVE-2026-48079

Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.2

Description Um erro de ordenação no manipulador de carga do lado do servidor da página /logout faz com que o cookie access token seja excluído antes que o endpoint /api/auth/logout seja chamado via event.fetch(). Como a busca interna não possui o cookie de autenticação, o apiAuthHandle rejeita a solicitação, impedindo a execução da função SessionService.revokeSession(). Consequentemente, a sessão permanece válida no banco de dados até a sua expiração natural, permitindo que qualquer pessoa com uma cópia do token continue a fazer chamadas de API autenticadas, apesar de o usuário parecer ter encerrado a sessão.

Recommendations Atualize para a versão 1.0.2 ou posterior.