CVE-2026-48074
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
OpenReception przed wersją 1.0.6 ma podatność w usuwaniu pracownika przez TENANT_ADMIN, która usuwa zaproszenia użytkowników w innych tenantach o tym samym adresie email.
Ocena ryzyka
Ryzyko przypadkowego usunięcia zaproszeń użytkowników w innych tenantach, co może zakłócić proces onboardingu.
Rekomendacja
Zaktualizuj OpenReception do wersji 1.0.6, która zawiera poprawkę ograniczającą usuwanie zaproszeń do właściwego tenanta.
Oryginalny opis (angielski, źródło NVD)
OpenReception's appointment booking software provides an end-to-end encrypted appointment booking platform. Prior to version 1.0.6, when a TENANT_ADMIN deletes an existing staff user, the underlying `StaffService.deleteStaffMember()` runs an additional invite cleanup that deletes from the central `user_invite` table by email. The `email` clause has no `tenantId` predicate. Any pending invite in any tenant that shares the deleted staff's email is removed. A TENANT_ADMIN of tenant A who deletes a staff record with email `victim[@]example[.]com` also deletes the pending invite for `victim[@]example[.]com` in tenant B, even though they have no relationship to tenant B. The user-side delete is correctly scoped (`eq(user.id, staffId), eq(user.tenantId, tenantId)`), and the pending-invite-only delete path (when `staffId` is itself an invite ID) is also tenant-scoped. The bug is specifically in the invite cleanup that runs as a side effect of deleting an existing staff user. Version 1.0.6 patches the issue.