CVE-2024-58354 in cal.diy
要約
〜によって VulDB • 2026年07月24日
cal.com (calcom リポジトリ、後に cal.diy にリネーム) は、GitHub Actions ワークフローにおけるリポジトリ乗っ取り脆弱性の影響を受けます。ワークフロー pr.yml は pull_request_target トリガーを使用し、リポジトリのデフォルトの書き込み権限を保持したまま check-types.yml に渡します。check-types.yml はその後、攻撃者が提出したプルリクエストコードに対して '危険な' チェックアウト (dangerous-git-checkout アクション経由) を実行し、それに続いてそれを実行します (yarn install および package.json スクリプトを通じて)。攻撃者は任意のコードがリポジトリの書き込みスコープ付き GITHUB_TOKEN で実行されるようなプルリクエストを開くことができ、これによりコミットの送信、プルリクエストのマージまたは変更、コメントの追加または削除、ブランチの削除または強制プッシュを行うことが可能となり、結果としてリポジトリを侵害します。main ブランチが影響を受けており、修正バージョンは利用できません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.