CVE-2025-71389
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
Cal.com (calcom/cal.diy) przed wersją 5.9.9 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Aplikacja zawiera wersję Next.js, której obsługa żądań React Server Components (RSC) deserializuje dane kontrolowane przez atakującego. Zdalny atakujący może wysłać spreparowane żądanie RSC i spowodować wykonanie dowolnego kodu po stronie serwera bez uwierzytelnienia i interakcji użytkownika. Podatność pochodzi z CVE-2025-55182 w Next.js i została naprawiona w wersji 5.9.9 poprzez aktualizację zależności.
Ocena ryzyka
Atakujący może całkowicie przejąć serwer Cal.com bez żadnego uwierzytelnienia, co może prowadzić do kradzieży danych, zakłócenia działania lub wykorzystania serwera do dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować Cal.com do wersji 5.9.9 lub nowszej, która zawiera poprawioną wersję Next.js.
Oryginalny opis (angielski, źródło NVD)
Cal.com (calcom/cal.diy) before 5.9.9 is vulnerable to unauthenticated remote code execution because it bundles a version of Next.js whose React Server Components (RSC) request handling deserializes attacker-controlled input. A remote attacker can send a crafted RSC request to the server and cause arbitrary code to be executed during server-side processing, without authentication or user interaction. The flaw derives from the upstream Next.js vulnerability CVE-2025-55182 and is resolved in 5.9.9 by updating the affected dependency.