CVE-2024-58354 in cal.diy
Zusammenfassung
von VulDB • 23.07.2026
cal.com (Repository calcom, in seguito rinominato cal.diy) è affetto da una vulnerabilità di takeover del repository nelle sue workflow GitHub Actions. La workflow pr.yml utilizza il trigger pull_request_target con i permessi di scrittura predefiniti del repository e li trasmette a check-types.yml. Successivamente, check-types.yml esegue un checkout 'pericoloso' (dangerous) del codice della pull request inviata dall’attaccante (tramite l’azione dangerous-git-checkout) ed lo esegue successivamente (attraverso yarn install e gli script di package.json). Un attaccante può aprire una pull request il cui codice esegue comandi arbitrari con il GITHUB_TOKEN limitato ai permessi di scrittura del repository, consentendo all’attaccante di inviare commit, unire o modificare le pull request, aggiungere o eliminare commenti ed eliminare o forzare l’inoltro (force-push) dei branch, compromettendo così il repository. Il branch principale è interessato; non è disponibile alcuna versione corretta.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.