CVE-2026-16624

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.6
EPSS: 0.4%
CWE: CWE-639
KEV Durumu: Hayır

Yayım tarihi: 22 Temmuz 2026

Cal.com OSS, webhook takım Kimliği oluşturma sırasında yetkilendirme eksikliği nedeniyle, herhangi bir kimliği doğrulanmış kullanıcı herhangi bir takıma webhook oluşturabilir, doğrulanmamış takım Kimliği enjeksiyonu yoluyla, ardından webhook teslimini tetikleyerek rezervasyon verilerini, organizatör/katılımcı e-postaları ve özel yanıtlar gibi alanları ve koşullu olarak video-arama parolalarını çalebilir.

Orijinal açıklama (İngilizce)

Cal.com OSS ships lacks authorization on webhook teamId creation, allowing any authenticated user to create a webhook on any team via unvalidated teamId injection, then steal booking data, including fields like organizer/attendee emails and custom responses, and conditionally video-call passwords, by triggering webhook delivery.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.