CVE-2026-65824
Beschrijving NL
De afsprakenboekingssoftware van OpenReception biedt een end-to-end versleuteld platform voor het boeken van afspraken. Vóór versie 2.2.1 kon een aanvaller die een in behandeling zijnde uitnodigingstoken onderschepte, deze misbruiken om een wachtwoordregistratie-referentie te verkrijgen en zijn eigen wachtwoord te registreren op het uitgenodigde account, waardoor hij de controle over dat account overnam. Bij een uitnodiging voor een medewerker of tenantbeheerder gaf dit toegang tot de tenantcontext die aan dat account was gekoppeld. Dit probleem is verholpen in versie 2.2.1.
Origineel (Engels) tonen
OpenReception's appointment booking software provides an end-to-end encrypted appointment booking platform. Prior to version 2.2.1, an attacker who captures a pending invite token can replay it to obtain a passkey-registration credential and register their own passkey on the invited account, taking control of that account. For a staff or tenant-admin invite this yields access to the tenant context tied to that account. This issue has been patched in version 2.2.1.