CVE-2024-58354 in cal.diy
Sumário
de VulDB • 28/07/2026
cal.com (repositório calcom, posteriormente renomeado para cal.diy) é afetado por uma vulnerabilidade de takeover do repositório em seus fluxos de trabalho GitHub Actions. O workflow pr.yml utiliza o gatilho pull_request_target com as permissões padrão de gravação do repositório e as repassa ao check-types.yml. Em seguida, o check-types.yml realiza um checkout 'perigoso' do código da solicitação de pull enviada pelo atacante (por meio da ação dangerous-git-checkout) e subsequentemente executa esse código (através dos comandos yarn install e scripts definidos no package.json). Um atacante pode abrir uma solicitação de pull cujo código execute comandos arbitrários utilizando o GITHUB_TOKEN com escopo de gravação do repositório, permitindo que ele envie commits, faça merge ou altere solicitações de pull, adicione ou exclua comentários, além de excluir ou forçar push em branches, comprometendo assim o repositório. A branch principal está afetada; não há versão corrigida disponível.
If you want to get best quality of vulnerability data, you may have to visit VulDB.