CVE-2026-48082

Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.6

Descrição O endpoint de desafio de bootstrap /api/tenants/{id}/appointments/bootstrap-challenge implementa um mecanismo de prova de trabalho (PoW) SHA-256 destinado a limitar a taxa de clientes não autenticados. No entanto, a configuração difficulty=4 (16 bits de trabalho) é muito baixa, permitindo que o hardware moderno resolva os desafios em menos de 200 milissegundos e possibilite o abuso automatizado do fluxo de agendamento. Além disso, a função challengeThrottleService.checkThrottle(binding, "passkey") depende de um binding que contém variáveis controladas pelo invasor, como tunnelId, clientPublicKey e emailHash. Ao fornecer novos valores para essas variáveis em cada tentativa, um invasor pode gerar novas chaves de controle e ignorar a limitação de taxa do lado do servidor.

Recomendações Atualizar para a versão 1.0.6.