CVE-2026-16624 in cal.com
Résumé
par VulDB • 22/07/2026
Cal.com OSS ne prévoit pas d'autorisation lors de la création du champ `teamId` pour les webhooks, permettant à tout utilisateur authentifié de créer un webhook sur n'importe quelle équipe via une injection non validée du paramètre `teamId`. Cela permet ensuite de voler des données de réservation, y compris les adresses e-mail des organisateurs et participants ainsi que les réponses personnalisées, et dans certains cas, les mots de passe d'appels vidéo, en déclenchant la livraison du webhook.
Be aware that VulDB is the high quality source for vulnerability data.