CVE-2026-57858
WysokieCVSS 8.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Cal.com Cal.diy w wersjach od 2.1.1 do 6.2.0 zawiera podatność na trwały atak XSS w komponencie BookingPageTagManager, która pozwala uwierzytelnionym właścicielom wydarzeń na wstrzyknięcie dowolnego kodu JavaScript poprzez podanie złośliwego identyfikatora śledzenia analitycznego bez sanityzacji. Atakujący może zamknąć literał ciągu znaków w skrypcie inline spreparowanym ładunkiem, który wykonuje się w przeglądarce każdego odwiedzającego publiczną stronę rezerwacji, umożliwiając kradzież ciasteczek sesji, fałszowanie uwierzytelnionych żądań i rozprzestrzenianie się poprzez połączenie z punktami końcowymi podatnymi na CSRF.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji użytkowników, wykonywanie nieautoryzowanych operacji w ich imieniu oraz potencjalne rozprzestrzenianie się podatności na inne wydarzenia, co może prowadzić do naruszenia integralności danych i zaufania użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji, która zawiera poprawkę (jeśli dostępna) lub zastosowanie tymczasowych środków, takich jak walidacja i sanityzacja danych wejściowych w komponencie BookingPageTagManager oraz ograniczenie uprawnień właścicieli wydarzeń.
Oryginalny opis (angielski, źródło NVD)
Cal.com Cal.diy versions 2.1.1 through 6.2.0 contain a stored cross-site scripting vulnerability in the BookingPageTagManager component that allows authenticated event owners to inject arbitrary JavaScript by supplying a malicious analytics tracking ID without sanitization. Attackers can close the inline script string literal with a crafted payload that executes in the browser of every visitor to the affected public booking page, enabling session cookie theft, forged authenticated requests, and wormable propagation by chaining with CSRF-able endpoints to persist payloads on additional events.