PT-2026-64179 · Cal.Com · Cal.Com

Xyzeva · CVE-2024-58353 · Publicado 2026-07-23 · Atualizado 2026-07-23

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L

Nome do Software Vulnerável e Versões Afetadas Cal.com versões anteriores a 4.7.16

Description Ocorre cross-site scripting (XSS) no endpoint de visualização de reserva única acessível publicamente '/booking/'. A aplicação utiliza a função dangerouslySetInnerHTML do React para renderizar rótulos de campos de formulário de perguntas de reserva sem a devida sanitização de entrada ou Política de Segurança de Conteúdo (CSP). Isso permite que um invasor crie um tipo de evento com um rótulo malicioso para injetar HTML ou JavaScript arbitrário, que é executado quando uma vítima visita a URL de reserva. Instâncias auto-hospedadas com registro aberto são particularmente suscetíveis.

Recommendations Atualizar para a versão 4.7.16.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-80

Identificadores relacionados

CVE-2024-58353

GHSA-VGJ7-76CW-H6F8

Produtos afetados

Cal.Com

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/58xxx/CVE-2024-58353.json · Exploit
• https://github.com/calcom/cal.diy/security/advisories/GHSA-vgj7-76cw-h6f8 · Aviso do Fabricante
• https://github.com/calcom/cal.diy/commit/00689fda0a30b8f933c096f02c1fe092a4206def · Correção
• https://vulncheck.com/advisories/cal-com-through-cross-site-scripting-via-booking-questions · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-58353 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-58353 · Aviso do Fabricante