CVE-2026-109143: ошибка управления привилегиями в credentials.delete в cal.com и cal.diy

В open-source платформе для планирования встреч cal.com и её форке cal.diy выявлена уязвимость, связанная с неправильным управлением привилегиями. О проблеме сообщено публично, и на момент раскрытия вендор не предоставил ответа, что повышает риски для организаций, использующих затронутые версии.

Подробности

Уязвимость затрагивает calcom cal.com и calcom cal.diy вплоть до версии 6.2.0 включительно. Она локализована в функции credentials.delete файла /api/trpc/credentials/delete, относящегося к компоненту Credentials Handler. Суть проблемы — в некорректной проверке прав доступа: при манипуляции аргументом teamId пользователь может инициировать удаление учётных данных, не имея на это соответствующих полномочий. Это классический случай improper privilege management (CWE-269), когда серверная логика не сопоставляет запрошенный идентификатор команды с фактическими правами инициатора операции. Атака может быть проведена удалённо, без физического доступа к инфраструктуре. Эксплойт уже раскрыт публично, поэтому вероятность его практического использования существенно возрастает — злоумышленникам не требуется глубокая проработка техники, достаточно воспроизвести описанный сценарий. Уязвимости присвоен базовый балл CVSS 5.3 (MEDIUM). Такой уровень отражает умеренную критичность: прямой компрометации систем не происходит, но возможна потеря целостности данных — удаление учётных записей команд, к которым пользователь не должен иметь доступ. В сценариях с интеграциями (календари, OAuth-токены, webhooks) удаление credentials способно нарушить рабочие процессы и вызвать простой в обслуживании бронирований.

Что делать

На текущий момент вендор не выпустил патч и не прокомментировал ситуацию. Рекомендуется следующий набор мер:

• Проверить используемую версию cal.com или cal.diy. Если она равна 6.2.0 или ниже — считать систему подверженной уязвимости.
• Ограничить сетевой доступ к эндпоинту /api/trpc/credentials/delete на уровне reverse-proxy, WAF или API-gateway: разрешить вызовы только доверенным сервисам и административным ролям.
• Ввести дополнительную серверную проверку принадлежности teamId к текущему пользователю — например, через промежуточное ПО, валидирующее членство в команде перед передачей запроса в обработчик.
• Включить расширенное журналирование вызовов credentials.delete с фиксацией teamId, идентификатора пользователя и результата операции; настроить алерты на аномальные удаления.
• Ограничить число пользователей с правами на управление credentials и регулярно пересматривать эти роли.
• Следить за обновлениями проекта: после выпуска исправления обновить cal.com/cal.diy до актуальной версии.

Дополнительно стоит проверить журналы за прошлые периоды на предмет подозрительных удалений учётных данных — публичное раскрытие эксплойта означает, что попытки эксплуатации могли предприниматься и до огласки. Итог: CVE-2026-109143 — умеренно опасная, но легко воспроизводимая уязвимость, позволяющая удалённо удалять credentials чужих команд в cal.com и cal.diy до 6.2.0. Из-за отсутствия патча и публичного эксплойта ключевую роль играют компенсирующие меры: ограничение доступа к эндпоинту, дополнительная серверная валидация прав и мониторинг. Организациям, использующим затронутые версии, рекомендуется действовать незамедлительно.

Источник: CVE Project (cvelistV5)