CVE-2026-104054
ŚrednieCVSS 6.3Streszczenie
Wykryto lukę bezpieczeństwa w calcom cal.diy do wersji 6.2.0. Dotyczy ona funkcji doesUserIdHaveAccessToBooking w pliku BookingAccessService.ts komponentu PBAC Permission Engine. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Pull request z poprawką oczekuje na akceptację.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do funkcji rezerwacji, co może prowadzić do naruszenia danych lub nieautoryzowanych działań.
Rekomendacja
Zaleca się monitorowanie statusu poprawki i jej szybkie wdrożenie, a także tymczasowe ograniczenie dostępu do systemu.
Inne podatności w calcom cal.diy
Zobacz wszystkie- CVE-2026-9349Średnie
Podatność w calcom cal.diy do wersji 4.9.4. Funkcja getServerSideProps w pliku apps/web/modules/bookings/views/bookings-single-view.getServerSideProps.tsx komponentu Generic React API ujawnia informacje poprzez manipulację argumentami cancelledBy/rescheduledBy. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-9303Średnie
W calcom cal.diy do wersji 4.9.4 wykryto podatność na CSRF. Nieznana funkcja umożliwia atak CSRF, który może być wykonany zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in calcom cal.diy up to 6.2.0. This affects the function doesUserIdHaveAccessToBooking of the file BookingAccessService.ts of the component PBAC Permission Engine. Performing a manipulation results in missing authorization. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. The pull request to fix this issue awaits acceptance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS