CVE-2026-9349
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Podatność w calcom cal.diy do wersji 4.9.4. Funkcja getServerSideProps w pliku apps/web/modules/bookings/views/bookings-single-view.getServerSideProps.tsx komponentu Generic React API ujawnia informacje poprzez manipulację argumentami cancelledBy/rescheduledBy. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja narażona na wyciek wrażliwych danych z systemu rezerwacji. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania podatności.
Rekomendacja
Zaktualizuj calcom cal.diy do najnowszej dostępnej wersji. Jeśli nie jest dostępna, ogranicz dostęp do API i monitoruj podejrzane żądania.
Inne podatności w calcom cal.diy
Zobacz wszystkie- CVE-2026-104054Średnie
Wykryto lukę bezpieczeństwa w calcom cal.diy do wersji 6.2.0. Dotyczy ona funkcji doesUserIdHaveAccessToBooking w pliku BookingAccessService.ts komponentu PBAC Permission Engine. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Pull request z poprawką oczekuje na akceptację.
- CVE-2026-9303Średnie
W calcom cal.diy do wersji 4.9.4 wykryto podatność na CSRF. Nieznana funkcja umożliwia atak CSRF, który może być wykonany zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in calcom cal.diy up to 4.9.4. Affected by this issue is the function getServerSideProps of the file apps/web/modules/bookings/views/bookings-single-view.getServerSideProps.tsx of the component Generic React API. This manipulation of the argument cancelledBy/rescheduledBy causes information disclosure. The attack can be initiated remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS