CVE-2026-48088

Nome do Software Vulnerável e Versões Afetadas OpenReception versões anteriores a 1.0.4

Descrição Existe uma falha de bypass de autenticação na plataforma de agendamento de consultas que permite que atacantes de rede não autenticados se registrem como destinatários de criptografia para futuras consultas de pacientes de qualquer locatário. O problema ocorre no endpoint POST /api/tenants/{tenantId}/staff/{staffId}/crypto, que aceita e armazena chaves públicas ML-KEM-768 controladas pelo atacante sem a devida autenticação.

Uma variante da falha permite o armazenamento de chaves apesar de registrar uma tentativa não autorizada. Uma segunda variante suprime totalmente este aviso quando o campo email é omitido do corpo da requisição e nenhum cookie de registro está presente, causando um erro de lógica onde undefined === undefined é avaliado como verdadeiro. Além disso, a tabela staff crypto não possui uma restrição de unicidade no user id, permitindo que múltiplas linhas do atacante coexistam. A validação fraca do esquema para passkeyId, publicKey e privateKeyShare também permite que entradas malformadas sejam armazenadas, o que pode interromper os fluxos de agendamento legítimos.

Atacantes podem explorar isso usando o endpoint GET /api/tenants/{id}/appointments/staff-public-keys para recuperar suas chaves injetadas. Como as novas consultas criptografam as chaves de túnel para todos os destinatários listados usando ML-KEM (um mecanismo de encapsulamento de chave pós-quântica), o atacante pode decapsular a chave do túnel e descriptografar todos os payloads da consulta.

Recomendações Atualize o OpenReception para a versão 1.0.4. Como mitigação temporária, restrinja o acesso ao endpoint POST /api/tenants/{tenantId}/staff/{staffId}/crypto.