CVE-2026-16624
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W Cal.com OSS brakuje autoryzacji przy tworzeniu webhooka z identyfikatorem teamId, co pozwala każdemu uwierzytelnionemu użytkownikowi na utworzenie webhooka w dowolnym zespole poprzez niewalidowane wstrzyknięcie teamId. Następnie może on kraść dane rezerwacji, w tym adresy e-mail organizatora/uczestników oraz niestandardowe odpowiedzi, a warunkowo także hasła do połączeń wideo, poprzez wyzwolenie dostarczenia webhooka.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych rezerwacji, w tym danych kontaktowych i haseł do wideokonferencji, co narusza poufność i prywatność użytkowników.
Rekomendacja
Zaktualizuj Cal.com OSS do wersji, która wprowadza odpowiednią autoryzację przy tworzeniu webhooków.
Oryginalny opis (angielski, źródło NVD)
Cal.com OSS ships lacks authorization on webhook teamId creation, allowing any authenticated user to create a webhook on any team via unvalidated teamId injection, then steal booking data, including fields like organizer/attendee emails and custom responses, and conditionally video-call passwords, by triggering webhook delivery.