CVE-2024-58353
Açıklama
Cal.com (repository calcom/cal.diy), <= 4.7.15 sürümlerinde halka açık tekil rezervasyon görünümünde (örneğin /booking/<id>) siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Rezervasyon sorusu (form alanı) etiketleri, uygun girdi temizleme veya CSP olmadan React'in dangerouslySetInnerHTML özelliği aracılığıyla işlenmektedir; bu nedenle kötü niyetli bir rezervasyon sorusu etiketiyle etkinlik türü oluşturabilen bir saldırgan, kurban rezervasyon görünümü URL'sini ziyaret ettiğinde yürütülecek rastgele HTML/JavaScript enjekte edebilir. Açık kayıt özelliğine sahip self-hosted örnekler özellikle risk altındadır. Sorun 4.7.16 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| calcom cal.diy | v ≤ 4.7.15 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.