Cal.Com · Cal.Diy · CVE-2026-57858
**Nome do Software Vulnerável e Versões Afetadas**
Cal.com Cal.diy versões 2.1.1 a 6.2.0
**Descrição**
Um problema de cross-site scripting armazenado existe no componente `BookingPageTagManager`. Proprietários de eventos autenticados podem injetar JavaScript arbitrário ao fornecer um ID de rastreamento de análise malicioso que não é devidamente sanitizado. Isso permite que um invasor feche a literal de string do script inline com um payload elaborado, que é executado no navegador de qualquer visitante da página de agendamento pública. Isso pode levar ao roubo de cookies de sessão, requisições autenticadas forjadas e propagação do tipo worm ao encadear o ataque com endpoints suscetíveis a CSRF para persistir payloads em outros eventos. Cross-site scripting (XSS) é uma falha onde scripts maliciosos são injetados em sites confiáveis.
**Recomendações**
Atualize o Cal.com Cal.diy para uma versão posterior à 6.2.0.