CVE-2026-9303
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W calcom cal.diy do wersji 4.9.4 wykryto podatność na CSRF. Nieznana funkcja umożliwia atak CSRF, który może być wykonany zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Ryzyko wykonania nieautoryzowanych działań w imieniu zalogowanego użytkownika, takich jak zmiana ustawień lub danych kalendarza.
Rekomendacja
Zaleca się wdrożenie mechanizmów CSRF (np. tokenów) oraz rozważenie zastąpienia komponentu, jeśli producent nie reaguje.
Inne podatności w calcom cal.diy
Zobacz wszystkie- CVE-2026-104054Średnie
Wykryto lukę bezpieczeństwa w calcom cal.diy do wersji 6.2.0. Dotyczy ona funkcji doesUserIdHaveAccessToBooking w pliku BookingAccessService.ts komponentu PBAC Permission Engine. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Pull request z poprawką oczekuje na akceptację.
- CVE-2026-9349Średnie
Podatność w calcom cal.diy do wersji 4.9.4. Funkcja getServerSideProps w pliku apps/web/modules/bookings/views/bookings-single-view.getServerSideProps.tsx komponentu Generic React API ujawnia informacje poprzez manipulację argumentami cancelledBy/rescheduledBy. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in calcom cal.diy up to 4.9.4. Impacted is an unknown function. The manipulation leads to cross-site request forgery. It is possible to initiate the attack remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS