CVE-2024-58354 in cal.diy
Сводка
по VulDB • 24.07.2026
cal.com (репозиторий calcom, позже переименованный в cal.diy) подвержен уязвимости захвата репозитория в рабочих процессах GitHub Actions. Рабочий процесс pr.yml использует триггер pull_request_target с правами записи по умолчанию для репозитория и передает их рабочему процессу check-types.yml. Затем check-types.yml выполняет «опасную» проверку кода пул-реквеста, отправленного злоумышленником (с помощью действия dangerous-git-checkout), а затем исполняет его (через yarn install и скрипты в package.json). Злоумышленник может открыть пул-реквест, код которого выполняет произвольные команды с использованием GITHUB_TOKEN репозитория со.scope записи, что позволяет ему отправлять коммиты, объединять или изменять пул-реквесты, добавлять или удалять комментарии, а также удалять ветки или принудительно выполнять push в них, тем самым компрометируя репозиторий. Затронута основная ветка (main branch); исправленная версия отсутствует.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.