CVE-2026-112043
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W calcom cal.com i cal.diy zidentyfikowano słabość w funkcji createWebhookProcedure (plik packages/trpc/server/routers/viewer/webhook/util.ts) w komponencie Webhook Handler. Manipulacja argumentem ID może prowadzić do obejścia autoryzacji (authorization bypass). Atak można przeprowadzić zdalnie; pull request z poprawką oczekuje na akceptację.
Ocena ryzyka
Zdalny atakujący może obejść kontrolę autoryzacji i uzyskać dostęp do operacji webhooków, do których nie powinien mieć uprawnień. Może to prowadzić do nieautoryzowanych zmian konfiguracji webhooków.
Rekomendacja
Śledź status pull requesta z poprawką i wdróż ją po scaleniu. Do tego czasu ogranicz dostęp do funkcji webhooków i weryfikuj uprawnienia użytkowników.
Inne podatności w cal.com
Zobacz wszystkie- CVE-2025-71389Krytyczne
Cal.com (calcom/cal.diy) przed wersją 5.9.9 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Aplikacja zawiera wersję Next.js, której obsługa żądań React Server Components (RSC) deserializuje dane kontrolowane przez atakującego. Zdalny atakujący może wysłać spreparowane żądanie RSC i spowodować wykonanie dowolnego kodu po stronie serwera bez uwierzytelnienia i interakcji użytkownika. Podatność pochodzi z CVE-2025-55182 w Next.js i została naprawiona w wersji 5.9.9 poprzez aktualizację zależności.
- CVE-2024-58354Krytyczne
Podatność w repozytorium cal.com (później cal.diy) w GitHub Actions. Workflow pr.yml używa wyzwalacza pull_request_target z domyślnymi uprawnieniami zapisu, co pozwala atakującemu na wykonanie dowolnych poleceń z tokenem GITHUB_TOKEN o uprawnieniach zapisu. Atakujący może wypchnąć commity, scalić lub zmutować pull requesty, dodać lub usunąć komentarze oraz usunąć lub wymusić push gałęzi.
- CVE-2026-109143Średnie
Podatność w calcom cal.com i cal.diy do wersji 6.2.0 dotyczy funkcji credentials.delete w pliku /api/trpc/credentials/delete. Manipulacja argumentem teamId powoduje nieprawidłowe zarządzanie uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2024-58355Wysokie
Cal.com (calcom/cal.diy) do wersji 4.7.15 zawiera podatność stored cross-site scripting (XSS) w widoku pojedynczej rezerwacji (np. https://app.cal.com/booking/<id>). Etykiety pól booking-question są renderowane przez React's dangerouslySetInnerHTML bez sanityzacji lub ucieczki danych wejściowych, co pozwala atakującemu na wstrzyknięcie dowolnego HTML/JavaScript.
- CVE-2024-58353Wysokie
Podatność XSS w Cal.com (calcom/cal.diy) w wersjach do 4.7.15. Etykiety pól formularza rezerwacji są renderowane przez React z dangerouslySetInnerHTML bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie dowolnego HTML/JavaScript. Luka została naprawiona w wersji 4.7.16.
- CVE-2023-37919Średnie
Cal.com to oprogramowanie do planowania, które ma podatność pozwalającą na utrzymanie aktywnych sesji po włączeniu 2FA. Po aktywacji 2FA na koncie, które jest zalogowane na dwóch lub więcej urządzeniach, pozostałe urządzenia nie wymagają weryfikacji tożsamości właściciela konta.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in calcom cal.com and cal.diy up to 6.2.0. Impacted is the function createWebhookProcedure of the file packages/trpc/server/routers/viewer/webhook/util.ts of the component Webhook Handler. Executing a manipulation of the argument ID can lead to authorization bypass. It is possible to launch the attack remotely. The pull request to fix this issue awaits acceptance.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS