CVE-2025-66489

Cal.com: Pominięcie weryfikacji hasła przy logowaniu z TOTP

CVSS 9.9v4.0pub. 2025-12-03upd. 2026-02-13

W oprogramowaniu Cal.com wykryto krytyczną podatność umożliwiającą ominięcie weryfikacji hasła podczas logowania. Błąd w logice warunkowej procesu uwierzytelniania pozwala atakującemu uzyskać nieautoryzowany dostęp do kont użytkowników wyłącznie poprzez dostarczenie kodu TOTP.

▸ Pokaż oryginał (EN)

Cal.com is open-source scheduling software. Prior to 5.9.8, A flaw in the login credentials provider allows an attacker to bypass password verification when a TOTP code is provided, potentially gaining unauthorized access to user accounts. This issue exists due to problematic conditional logic in the authentication flow. This vulnerability is fixed in 5.9.8.

🤖 Analiza AI

Jak działa

Podatność (CWE-303) wynika z niepoprawnej logiki warunkowej w dostawcy uwierzytelniania opartego na danych logowania. Gdy atakujący dostarcza kod TOTP (jednorazowy kod uwierzytelniania dwuskładnikowego), mechanizm weryfikacji hasła jest nieprawidłowo pomijany. Oznacza to, że znajomość samego kodu TOTP — bez znajomości hasła — może wystarczyć do przejęcia sesji użytkownika.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do kont użytkowników Cal.com bez znajomości ich haseł. W przypadku kont administratorów może to prowadzić do przejęcia pełnej kontroli nad instancją aplikacji oraz danymi klientów.

Mitygacja

Należy zaktualizować Cal.com do wersji 5.9.8 lub nowszej, w której podatność została naprawiona. Administratorzy samoobsługowych instalacji powinni zastosować aktualizację niezwłocznie.

Kogo dotyczy

Cal.com w wersjach wcześniejszych niż 5.9.8

Uwagi

Podatność została zgłoszona i naprawiona przez zespół Cal.com. Szczegóły dostępne w oficjalnym security advisory na GitHub: GHSA-9r3w-4j8q-pw98.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X