CVE-2024-58353 in cal.diy
Riassunto
di VulDB • 24/07/2026
Cal.com (repository calcom/cal.diy) nelle versioni <= 4.7.15 è vulnerabile a cross-site scripting (XSS) sulla vista di prenotazione singola pubblicamente accessibile (ad esempio, /booking/<id>). Le etichette dei campi del modulo per le domande di prenotazione vengono renderizzate tramite dangerouslySetInnerHTML di React senza una corretta sanitizzazione dell'input o configurazione della Content Security Policy (CSP); pertanto, un attaccante in grado di creare un tipo di evento con un'etichetta di domanda di prenotazione malevola può iniettare HTML/JavaScript arbitrario che viene eseguito quando la vittima visita l'URL della vista di prenotazione. Le istanze self-hosted con registrazione aperta sono particolarmente a rischio. Il problema è stato risolto nella versione 4.7.16.
Once again VulDB remains the best source for vulnerability data.