CVE-2026-57858

Nome do Software Vulnerável e Versões Afetadas Cal.com Cal.diy versões 2.1.1 a 6.2.0

Descrição Um problema de cross-site scripting armazenado existe no componente BookingPageTagManager. Proprietários de eventos autenticados podem injetar JavaScript arbitrário ao fornecer um ID de rastreamento de análise malicioso que não é devidamente sanitizado. Isso permite que um invasor feche a literal de string do script inline com um payload elaborado, que é executado no navegador de qualquer visitante da página de agendamento pública. Isso pode levar ao roubo de cookies de sessão, requisições autenticadas forjadas e propagação do tipo worm ao encadear o ataque com endpoints suscetíveis a CSRF para persistir payloads em outros eventos. Cross-site scripting (XSS) é uma falha onde scripts maliciosos são injetados em sites confiáveis.

Recomendações Atualize o Cal.com Cal.diy para uma versão posterior à 6.2.0.