Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-58202 Toma de control de cuentas pendientes en OpenReception por enlaces de confirmación construidos desde el…

Antes de la versión 2.0.0, el enlace de confirmación de cuenta en los correos se construye a partir del encabezado Host de la petición, sin lista de permitidos. El endpoint no autenticado POST /api/auth/resend-confirmation rota el token de confirmación de un invitado pendiente y envía un correo cuyo host proviene de la petición. Un atacante que envía un resend-confirmation con Host: attacker.example y el correo de un invitado pendiente hace que este reciba un correo cuyo único enlace apunta al atacante; si el…

Alerta de Nureq Monitor

Detectada 23 OCT · 18:38

CVSS 3.1

8.3ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,4 % PERCENTIL 36

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-58202

Antes de la versión 2.0.0, el enlace de confirmación de cuenta en los correos se construye a partir del encabezado Host de la petición, sin lista de permitidos. El endpoint no autenticado POST /api/auth/resend-confirmation rota el token de confirmación de un invitado pendiente y envía un correo cuyo host proviene de la petición. Un atacante que envía un resend-confirmation con Host: attacker.example y el correo de un invitado pendiente hace que este reciba un correo cuyo único enlace apunta al atacante; si el…

Productos y versiones afectadas

  • open-reception appointment-booking-software

    • < 2.0.0

Qué hacer

  1. Verificá si usás appointment-booking-software y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.3 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:L

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Requerida
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Baja

Abrir la calculadora completa

Descripción original

OpenReception's appointment booking software provides an end-to-end encrypted appointment booking platform. Prior to version 2.0.0, the account-confirmation link in emails is built from the request Host header, with no allowlist. The unauthenticated POST /api/auth/resend-confirmation rotates a pending invitee's confirmation token and emails a link whose host comes from the request. An attacker who sends one resend-confirmation with Host: attacker.example and a pending invitee's email causes that invitee to receive a confirmation email whose only link points to the attacker. If the invitee clicks, the one-time confirmation token reaches the attacker, who then confirms the account on the real tenant domain and registers a passkey they control, taking over the account before the legitimate invitee ever uses it. All released versions through v1.1.0 are affected; no patched version exists yet. Reaching the app with a spoofed Host depends on the front proxy: the stock Caddy catch-all forwards it, while an operator who configures explicit per-tenant proxy blocks is not affected (see Details 4). The invite path builds links from the trusted tenant.domain (invite/+server.ts:204-210); the resend-confirmation path builds them from the request Host. This issue has been patched in version 2.0.0.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.