CVE-2026-75525 Inyección de clave ML-KEM sin autenticación en el directorio de destinatarios staff-crypto de OpenReception

Qué es CVE-2026-75525

En versiones 2.1.0 y anteriores, un atacante no autenticado puede almacenar una clave pública ML-KEM-768 arbitraria bajo la identidad de cualquier usuario existente en el directorio de destinatarios staff-crypto de cualquier tenant. Esto rompe la garantía de cifrado de extremo a extremo: la clave inyectada recibe la clave de túnel de cada turno reservado después en ese tenant.

Productos y versiones afectadas

• open-reception appointment-booking-software

  • <= 2.1.0

Qué hacer

1. Verificá si usás appointment-booking-software y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

OpenReception's appointment booking software provides an end-to-end encrypted appointment booking platform. In versions 2.1.0 and prior, an unauthenticated attacker can store an arbitrary ML-KEM-768 public key under any existing user's identity in any tenant's staff-crypto recipient directory. The product's design guarantees that appointment data is end-to-end encrypted to staff members and that the staff recipient directory is not attacker-writable, so that even administrators and the operator cannot read patient data. This endpoint breaks that guarantee for an unauthenticated remote actor: it allows writing an arbitrary encryption recipient into the recipient directory of any tenant. The injected key receives the tunnel key of every appointment booked afterward in that tenant, because booking clients encrypt to all active staff keys. The attacker holds the corresponding secret key and is a persistent, unauthorized recipient of that key material. At time of publication, there are no publicly available patches.

Referencias

• github.com/open-reception/appointment-booking-software/security/advisories/GHSA-qc72-9fg9…X_REFSOURCE_CONFIRM

Historial de la alerta

1. 23 OCT · 18:37VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.