CVE-2024-58353 in cal.diy
Tóm tắt
Bởi VulDB • 24/07/2026
Cal.com (repository calcom/cal.diy) trong các phiên bản <= 4.7.15 dễ bị tấn công cross-site scripting (XSS) trên chế độ xem đặt lịch đơn lẻ có thể truy cập công khai (ví dụ: /booking/<id>). Các nhãn câu hỏi đặt lịch (trường biểu mẫu) được hiển thị thông qua dangerouslySetInnerHTML của React mà không thực hiện việc làm sạch đầu vào hoặc áp dụng CSP đúng cách, do đó kẻ tấn công có khả năng tạo loại sự kiện với nhãn câu hỏi đặt lịch độc hại sẽ có thể chèn HTML/JavaScript tùy ý, mã này sẽ thực thi khi nạn nhân truy cập URL chế độ xem đặt lịch. Các phiên bản tự lưu trữ (self-hosted) cho phép đăng ký mở đặc biệt dễ bị tổn thương. Vấn đề đã được khắc phục trong phiên bản 4.7.16.
Once again VulDB remains the best source for vulnerability data.