PT-2026-64182 · Cal.Com+1 · Cal.Com+1

CVE-2025-71389 · Publicado 2025-12-03 · Atualizado 2026-07-23

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Cal.com versões anteriores a 5.9.9

Description A execução remota de código não autenticada é possível porque o software inclui uma versão do Next.js na qual o processamento de requisições de React Server Components (RSC) desserializa entradas controladas por atacantes. Um atacante remoto pode enviar uma requisição RSC manipulada ao servidor para executar código arbitrário durante o processamento no lado do servidor, sem a necessidade de autenticação ou interação do usuário.

Recommendations Atualizar para a versão 5.9.9.

Exploit

Correção

Deserialization of Untrusted Data

Code Injection

Enumeração de Fraquezas

CWE-502

CWE-94

Identificadores relacionados

CVE-2025-71389

GHSA-9QR9-H5GF-34MP

GHSA-QJX2-5XQP-CPF4

Produtos afetados

Cal.Com

Next.Js

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/71xxx/CVE-2025-71389.json · Exploit
• https://github.com/facebook/react/security/advisories/GHSA-fv66-9v8q-g76r · Nota
• https://github.com/vercel/next.js · Nota
• https://github.com/vercel/next.js/security/advisories/GHSA-9qr9-h5gf-34mp · Nota
• https://github.com/calcom/cal.diy/pull/25592 · Nota
• https://github.com/calcom/cal.diy/security/advisories/GHSA-qjx2-5xqp-cpf4 · Aviso do Fabricante
• https://github.com/vitejs/vite-plugin-react/security/advisories/GHSA-fmh4-wr37-44fp · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-71389 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-9qr9-h5gf-34mp · Aviso do Fabricante
• https://vulncheck.com/advisories/cal-com-before-remote-code-execution-via-rsc · Nota
• https://github.com/advisories/GHSA-9qr9-h5gf-34mp · Nota
• https://osv.dev/vulnerability/CVE-2025-71389 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-55182 · Nota de Segurança