Към съдържанието
Търсене

CVE-2026-57858: Cal.com Self-Hosted (Cal.diy), XSS

9.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Cal.com Cal.diy versions 2.1.1 through 6.2.0 contain a stored cross-site scripting vulnerability in the BookingPageTagManager component that allows authenticated event owners to inject arbitrary JavaScript by supplying a malicious analytics tracking ID without sanitization. Attackers can close the inline script string literal with a crafted payload that executes in the browser of every visitor to the affected public booking page, enabling session cookie theft, forged authenticated requests, and wormable propagation by chaining with CSRF-able endpoints to persist payloads on additional events.

Засегнати продукти

  • Cal.com Cal.com Self-Hosted (Cal.diy): 2.1.1 до 6.2.0

Вид слабост

История

  • 12 август 2026 Публикувано

Първоизточници

CVE-2026-57858: Cal.com Self-Hosted (Cal.diy), XSS | freedomonline.bg