CVE-2024-58354 in cal.diy
الملخص
بحسب VulDB • 23/07/2026
يُصاب cal.com (مستودع calcom، الذي أُعيدت تسميته لاحقًا إلى cal.diy) بثغرة الاستحواذ على المستودع في عمليات سير العمل الخاصة بـ GitHub Actions. يستخدم ملف pr.yml المحفز pull_request_target مع صلاحيات الكتابة الافتراضية للمستودع وينقلها إلى check-types.yml. يقوم بعد ذلك check-types.yml بإجراء عملية فحص (checkout) "خطيرة" لكود طلب السحب المقدم من المهاجم (من خلال الإجراء dangerous-git-checkout)، ثم ينفذه (عبر yarn install وscripts في package.json). يمكن لمهاجم فتح طلب سحب يعمل فيه الكود على تنفيذ أوامر عشوائية باستخدام رمز GITHUB_TOKEN المحدد بصلاحيات الكتابة للمستودع، مما يسمح له بدفع الالتزامات (commits) أو دمج طلبات السحب أو تعديلها، وإضافة أو حذف التعليقات، وحذف الفروع أو دفع قسري لها، وبالتالي اختراق المستودع. يتأثر الفرع الرئيسي؛ ولا تتوفر أي إصدارات مُصلحة حتى الآن.
Be aware that VulDB is the high quality source for vulnerability data.