OpenReception: Kontoübernahme über manipulierten Host-Header in Bestätigungs-E-Mails
Zusammenfassung
Die Terminbuchungssoftware OpenReception erstellt Bestätigungslinks in E-Mails aus dem Host-Header der Anfrage, ohne Allowlist. Ein nicht authentifizierter Angreifer kann POST /api/auth/resend-confirmation mit einem gefälschten Host und der E-Mail-Adresse eines ausstehenden Eingeladenen aufrufen. Der Eingeladene erhält dann einen Bestätigungslink, der auf den Angreifer zeigt, und bei Klick kann der Angreifer das ausstehende Konto übernehmen, indem er einen eigenen Passkey registriert. Das Problem hängt vom vorgeschalteten Proxy ab: Der Standard-Catch-all von Caddy leitet gefälschte Host-Header weiter, während explizite Proxy-Blöcke pro Mandant nicht betroffen sind.
Betroffen
- Versionen vor 2.0.0 (laut CNA-Eintrag)
- Eine Drittquelle gibt an, dass alle Versionen bis v1.1.0 betroffen sind und kein Patch existiert. Dies widerspricht dem Fix in 2.0.0 des Herstellers und ist nicht bestätigt.
Behoben in
- Version 2.0.0 (laut CNA-Eintrag und Versionshinweisen des Herstellers)
- Es existieren neuere Versionen. Verwenden Sie die neueste Version.
Umgehung
- Ersetzen Sie die Catch-all-Proxy-Regel durch explizite Host-Blöcke pro Mandant, sodass unbekannte Host-Werte abgewiesen werden. Dies wurde nicht gegen die Herstellerdokumentation geprüft.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Die CISA-SSVC-Bewertung lautet Exploitation: PoC, nicht automatisierbar.
- Ein öffentlicher PoC ist unklar. Ein Eintrag im CISA-KEV-Katalog ist nicht bestätigt.
Unsere Empfehlung
- Prüfen Sie die installierte Version und aktualisieren Sie auf 2.0.0 oder vorzugsweise auf die neueste Version.
- Falls eine Catch-all-Proxy-Regel verwendet wird, ersetzen Sie diese durch explizite Host-Blöcke pro Mandant.
- Prüfen Sie ausstehende Einladungen und Bestätigungstoken auf unerwartete Resend-Anfragen.
- Stellen Sie sicher, dass alle registrierten Passkeys den richtigen Benutzern gehören.
- Prüfen Sie das GitHub-Advisory und NVD auf den endgültigen betroffenen Versionsbereich.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit df54327 github.com
- Release v2.0.0 github.com
- GitHub Security Advisory GHSA-w5g9-g2p4-2g4m github.com
- Strix CVE record CVE-2026-58202 www.strix.ai
- VulDB CVE-2026-58202 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:15.
Referenzen der NVD (4)
- https://github.com/open-reception/appointment-booking-software/commit/df5432776a1a5b47c3a64d64e9d05dbe2b7a7819
- https://github.com/open-reception/appointment-booking-software/releases/tag/v2.0.0
- https://github.com/open-reception/appointment-booking-software/security/advisories/GHSA-w5g9-g2p4-2g4m
- https://github.com/open-reception/appointment-booking-software/security/advisories/GHSA-w5g9-g2p4-2g4m
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.