CVE-2024-58355
WysokieCVSS 8.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Cal.com (calcom/cal.diy) do wersji 4.7.15 zawiera podatność stored cross-site scripting (XSS) w widoku pojedynczej rezerwacji (np. https://app.cal.com/booking/<id>). Etykiety pól booking-question są renderowane przez React's dangerouslySetInnerHTML bez sanityzacji lub ucieczki danych wejściowych, co pozwala atakującemu na wstrzyknięcie dowolnego HTML/JavaScript.
Ocena ryzyka
Atakujący może wykraść dane uwierzytelniające, ciasteczka sesyjne lub wykonać inne złośliwe działania w kontekście ofiary, która otworzy spreparowany URL rezerwacji.
Rekomendacja
Należy zaktualizować Cal.com do wersji 4.7.16 lub nowszej.
Inne podatności w Cal.com
Zobacz wszystkie- CVE-2025-71389Krytyczne
Cal.com (calcom/cal.diy) przed wersją 5.9.9 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Aplikacja zawiera wersję Next.js, której obsługa żądań React Server Components (RSC) deserializuje dane kontrolowane przez atakującego. Zdalny atakujący może wysłać spreparowane żądanie RSC i spowodować wykonanie dowolnego kodu po stronie serwera bez uwierzytelnienia i interakcji użytkownika. Podatność pochodzi z CVE-2025-55182 w Next.js i została naprawiona w wersji 5.9.9 poprzez aktualizację zależności.
- CVE-2024-58354Krytyczne
Podatność w repozytorium cal.com (później cal.diy) w GitHub Actions. Workflow pr.yml używa wyzwalacza pull_request_target z domyślnymi uprawnieniami zapisu, co pozwala atakującemu na wykonanie dowolnych poleceń z tokenem GITHUB_TOKEN o uprawnieniach zapisu. Atakujący może wypchnąć commity, scalić lub zmutować pull requesty, dodać lub usunąć komentarze oraz usunąć lub wymusić push gałęzi.
- CVE-2024-58353Wysokie
Podatność XSS w Cal.com (calcom/cal.diy) w wersjach do 4.7.15. Etykiety pól formularza rezerwacji są renderowane przez React z dangerouslySetInnerHTML bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie dowolnego HTML/JavaScript. Luka została naprawiona w wersji 4.7.16.
- CVE-2023-37919Średnie
Cal.com to oprogramowanie do planowania, które ma podatność pozwalającą na utrzymanie aktywnych sesji po włączeniu 2FA. Po aktywacji 2FA na koncie, które jest zalogowane na dwóch lub więcej urządzeniach, pozostałe urządzenia nie wymagają weryfikacji tożsamości właściciela konta.
Oryginalny opis (angielski, źródło NVD)
Cal.com (calcom/cal.diy) versions through 4.7.15 contain a stored cross-site scripting vulnerability. The single booking view (e.g., https://app.cal.com/booking/<id>) renders booking-question field labels via React's dangerouslySetInnerHTML without sanitizing or escaping user input. An attacker who can create an event type with a malicious booking-question label can inject arbitrary HTML/JavaScript that executes when a victim opens the crafted booking URL. The issue is fixed in v4.7.16.