cal.diy因鉴权缺陷越权处理团队预约致数据受损
该缺陷源于预约访问控制模块中硬编码的权限校验存根服务，其在处理团队预约场景时始终返回放行状态，导致上层路由处理器无法拦截未授权请求。攻击者只需获取常规用户凭证，即可通过网络接口构造恶意的确认指令，篡改目标预约标识参数以触发越权逻辑。此利用路径直接绕过动态身份绑定机制，使攻击方能够非法批准或拒绝任意待处理的团队日程，并借此横向渗透至组织成员的私有预约记录，受控系统将面临跨租户数据越权读写与业务流转秩序紊乱的安全威胁。
组件
cal.diy是一款面向企业级日程管理与预约调度的开源应用平台，其核心架构基于tRPC通信协议与服务层抽象设计，内置事件类型定义、团队层级划分及预约生命周期管理等关键模块。该组件通过模块化路由分发与集中式业务逻辑处理实现多角色协作机制，旨在优化组织内部资源分配流程，并提供高可用的会议协调与日程同步服…
类型
Missing Authorization (CWE-862)
仓库
github.com/calcom/cal.diy
· Star 47713
处置建议
- 建议开发团队移除所有测试用权限校验存根代码，替换为基于关系型数据库的真实鉴权实现，严格执行用户身份绑定与角色权限映射验证。在敏感业务节点部署最小特权原则，确保每次数据操作前均完成上下文权限复核。同时应引入自动化授权测试用例与全链路审计日志，建立防御性编程规范以杜绝此类逻辑缺陷。
