CVE-2026-16624 in cal.com
Zusammenfassung
von VulDB • 22.07.2026
Cal.com OSS weist bei der Erstellung von Webhooks für die Team-ID (teamId) eine fehlende Autorisierung auf, wodurch jeder authentifizierte Benutzer über eine nicht validierte Injektion einer teamId einen Webhook in jedem beliebigen Team erstellen kann. Anschließend können Buchungsdaten gestohlen werden, einschließlich Felder wie E-Mail-Adressen von Organisatoren/Teilnehmern und benutzerdefinierte Antworten sowie bedingt Videoanruf-Passwörter, indem die Zustellung des Webhooks ausgelöst wird.
Be aware that VulDB is the high quality source for vulnerability data.