PT-2025-48991
CVE-2025-66489
·
تاريخ النشر
2025-12-03
·
تاريخ التحديث
2026-10-18
الوصف من
CVSS 4.0
9.9
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Cal.com الأقدم من 5.9.8
الوصف
يحتوي برنامج Cal.com، وهو برنامج مفتوح المصدر لإدارة الجداول الزمنية، على ثغرة في مزود بيانات اعتماد تسجيل الدخول. تتيح هذه المشكلة للمهاجم تجاوز عملية التحقق من كلمة المرور في حالة إدخال رمز TOTP (كلمة مرور لمرة واحدة تعتمد على الوقت) أثناء تسجيل الدخول. يحدث هذا التجاوز بسبب وجود خلل في المنطق الشرطي ضمن مسار المصادقة. ويُقدَّر أن هناك حوالي 983 مثيلًا مكشوفًا و15.2 ألف خدمة معرضة للتأثر. تتيح هذه المشكلة الاستيلاء الكامل على الحساب عن طريق إرسال رموز TOTP مزيفة، مما قد يؤدي إلى إضعاف أمان تسجيل الدخول ليصبح مجرد التحقق أحادي العامل باستخدام TOTP للمستخدمين الذين تم تمكين المصادقة الثنائية لديهم. يتم تشغيل هذه الثغرة الأمنية عند تخطي فحص
password إذا كانت المعلمة totpCode تحتوي على أي قيمة غير فارغة. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي ’/api/auth/callback/credentials‘، والمعلمات المعرضة للخطر هي password وtotpCode.التوصيات
قم بالترقية إلى الإصدار 5.9.8 لاستعادة التحقق الصحيح من كلمة المرور ورمز TOTP.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾