CVE-2024-58353 in cal.diy
要約
〜によって VulDB • 2026年07月25日
Cal.com (リポジトリ calcom/cal.diy) のバージョン <= 4.7.15 では、パブリックにアクセス可能な単一予約ビュー（例: /booking/<id>）においてクロスサイトスクリプティング（XSS）の脆弱性が存在します。予約質問（フォームフィールド）ラベルは、適切な入力サニタイズや CSP が適用されていない状態で React の dangerouslySetInnerHTML を介してレンダリングされるため、悪意のある予約質問ラベルを持つイベントタイプを作成できる攻撃者は、被害者が予約ビュー URL にアクセスした際に実行される任意の HTML/JavaScript を注入できます。オープンレジストレーションを許可しているセルフホスティングインスタンスは特にリスクが高くなります。この問題はバージョン 4.7.16 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.