CVE-2023-37919
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Cal.com to oprogramowanie do planowania, które ma podatność pozwalającą na utrzymanie aktywnych sesji po włączeniu 2FA. Po aktywacji 2FA na koncie, które jest zalogowane na dwóch lub więcej urządzeniach, pozostałe urządzenia nie wymagają weryfikacji tożsamości właściciela konta.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do konta, ponieważ sesje pozostają aktywne na innych urządzeniach bez dodatkowej weryfikacji. To zwiększa ryzyko kradzieży danych lub nieautoryzowanych działań.
Rekomendacja
Zaleca się monitorowanie aktywnych sesji oraz rozważenie wylogowania się z innych urządzeń po włączeniu 2FA. Należy również śledzić aktualizacje oprogramowania w celu zastosowania poprawek, gdy będą dostępne.
Inne podatności w Cal.com
Zobacz wszystkie- CVE-2025-71389Krytyczne
Cal.com (calcom/cal.diy) przed wersją 5.9.9 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Aplikacja zawiera wersję Next.js, której obsługa żądań React Server Components (RSC) deserializuje dane kontrolowane przez atakującego. Zdalny atakujący może wysłać spreparowane żądanie RSC i spowodować wykonanie dowolnego kodu po stronie serwera bez uwierzytelnienia i interakcji użytkownika. Podatność pochodzi z CVE-2025-55182 w Next.js i została naprawiona w wersji 5.9.9 poprzez aktualizację zależności.
- CVE-2024-58354Krytyczne
Podatność w repozytorium cal.com (później cal.diy) w GitHub Actions. Workflow pr.yml używa wyzwalacza pull_request_target z domyślnymi uprawnieniami zapisu, co pozwala atakującemu na wykonanie dowolnych poleceń z tokenem GITHUB_TOKEN o uprawnieniach zapisu. Atakujący może wypchnąć commity, scalić lub zmutować pull requesty, dodać lub usunąć komentarze oraz usunąć lub wymusić push gałęzi.
- CVE-2024-58355Wysokie
Cal.com (calcom/cal.diy) do wersji 4.7.15 zawiera podatność stored cross-site scripting (XSS) w widoku pojedynczej rezerwacji (np. https://app.cal.com/booking/<id>). Etykiety pól booking-question są renderowane przez React's dangerouslySetInnerHTML bez sanityzacji lub ucieczki danych wejściowych, co pozwala atakującemu na wstrzyknięcie dowolnego HTML/JavaScript.
- CVE-2024-58353Wysokie
Podatność XSS w Cal.com (calcom/cal.diy) w wersjach do 4.7.15. Etykiety pól formularza rezerwacji są renderowane przez React z dangerouslySetInnerHTML bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie dowolnego HTML/JavaScript. Luka została naprawiona w wersji 4.7.16.
Oryginalny opis (angielski, źródło NVD)
Cal.com is open-source scheduling software. A vulnerability allows active sessions associated with an account to remain active even after enabling 2FA. When activating 2FA on a Cal.com account that is logged in on two or more devices, the account stays logged in on the other device(s) stays logged in without having to verify the account owner's identity. As of time of publication, no known patches or workarounds exist.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS