Podatności Cal.com

Cal.com (calcom/cal.diy) przed wersją 5.9.9 jest podatny na nieuwierzytelnione zdalne wykonanie kodu. Aplikacja zawiera wersję Next.js, której obsługa żądań React Server Components (RSC) deserializuje dane kontrolowane przez atakującego. Zdalny atakujący może wysłać spreparowane żądanie RSC i spowodować wykonanie dowolnego kodu po stronie serwera bez uwierzytelnienia i interakcji użytkownika. Podatność pochodzi z CVE-2025-55182 w Next.js i została naprawiona w wersji 5.9.9 poprzez aktualizację zależności.

Podatność w repozytorium cal.com (później cal.diy) w GitHub Actions. Workflow pr.yml używa wyzwalacza pull_request_target z domyślnymi uprawnieniami zapisu, co pozwala atakującemu na wykonanie dowolnych poleceń z tokenem GITHUB_TOKEN o uprawnieniach zapisu. Atakujący może wypchnąć commity, scalić lub zmutować pull requesty, dodać lub usunąć komentarze oraz usunąć lub wymusić push gałęzi.

W calcom cal.com i cal.diy zidentyfikowano słabość w funkcji createWebhookProcedure (plik packages/trpc/server/routers/viewer/webhook/util.ts) w komponencie Webhook Handler. Manipulacja argumentem ID może prowadzić do obejścia autoryzacji (authorization bypass). Atak można przeprowadzić zdalnie; pull request z poprawką oczekuje na akceptację.

Podatność w calcom cal.com i cal.diy do wersji 6.2.0 dotyczy funkcji credentials.delete w pliku /api/trpc/credentials/delete. Manipulacja argumentem teamId powoduje nieprawidłowe zarządzanie uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Cal.com (calcom/cal.diy) do wersji 4.7.15 zawiera podatność stored cross-site scripting (XSS) w widoku pojedynczej rezerwacji (np. https://app.cal.com/booking/<id>). Etykiety pól booking-question są renderowane przez React's dangerouslySetInnerHTML bez sanityzacji lub ucieczki danych wejściowych, co pozwala atakującemu na wstrzyknięcie dowolnego HTML/JavaScript.

Podatność XSS w Cal.com (calcom/cal.diy) w wersjach do 4.7.15. Etykiety pól formularza rezerwacji są renderowane przez React z dangerouslySetInnerHTML bez odpowiedniej sanityzacji, co pozwala na wstrzyknięcie dowolnego HTML/JavaScript. Luka została naprawiona w wersji 4.7.16.

Cal.com to oprogramowanie do planowania, które ma podatność pozwalającą na utrzymanie aktywnych sesji po włączeniu 2FA. Po aktywacji 2FA na koncie, które jest zalogowane na dwóch lub więcej urządzeniach, pozostałe urządzenia nie wymagają weryfikacji tożsamości właściciela konta.