Falha crítica do Cal.com permite que invasores ignorem a autenticação usando códigos TOTP falsos – Against Invaders

Falha crítica do Cal.com permite que invasores ignorem a autenticação usando códigos TOTP falsos - Against Invaders

Cal.com divulgou uma vulnerabilidade crítica de desvio de autenticação que pode permitir que invasores obtenham acesso não autorizado a contas de usuários, explorando uma falha na senha lógica de verificação.

A falha, rastreada como CVE-2025-66489 e atribuída uma pontuação crítica CVSS v4 de 9,3, afeta todas as versões do Cal.com até 5.9.7 inclusive. Os usuários são incentivados a atualizar para a versão corrigida 5.9.8 imediatamente.​

Propriedade Detalhe
ID do CVE CVE-2025-66489
Tipo de vulnerabilidade Ignorar autenticação por meio de implementação incorreta do algoritmo de autenticação
ID de fraqueza CWE-303
Gravidade Crítico

Detalhes de vulnerabilidade e vetores de ataque

A vulnerabilidade reside na lógica de autenticação do provedor de credenciais na função authorize(), especificamente em packages/features/auth/lib/next-auth-options.ts.

A falha crítica decorre de uma lógica condicional problemática que ignora a verificação da senha quando um código TOTP (senha única baseada no tempo) é fornecido, independentemente de o código ser válido.​

A vulnerabilidade cria dois cenários de ataque distintos. No primeiro cenário, os invasores podem ignorar a verificação de senha e TOTP enviando qualquer valor não vazio no campo totpCode junto com o endereço de e-mail da vítima.

Isso significa que a maioria dos usuários do Cal.com que não ativaram o 2FA estão vulneráveis ​​a ataques de controle de conta com esforço mínimo dos atores da ameaça.​

O segundo cenário impacta os usuários com 2FA ativado, embora de forma menos severa. Quando um código TOTP é fornecido, o sistema de autenticação ignora totalmente a verificação de senha e valida apenas o código TOTP.

Isso reduz o processo de autenticação multifator para autenticação de fator único, enfraquecendo a postura de segurança para contas que deveriam ser mais bem protegidas.​

A lógica falha ocorre nas linhas 179-187 do arquivo de autenticação, onde o código verifica se um usuário possui um hash de senha e se um código TOTP foi fornecido.

Quando um totpCode está presente na solicitação, a instrução condicional é avaliada como falsa, fazendo com que a etapa de verificação de senha usando a função verifyPassword seja totalmente ignorada.

O fluxo de autenticação prossegue sem validar adequadamente o usuário credenciaispermitindo acesso não autorizado.​

Esta vulnerabilidade representa riscos graves para os usuários do Cal.com, expondo potencialmente informações confidenciais, como calendários, links de reuniões e dados pessoais.

Os invasores poderiam explorar essa falha para enumeração de usuários, representação de contas e acesso não autorizado a contas privilegiadas.

O problema foi relatado pelo pesquisador de segurança Jaydns e classificado em CWE-303 (Implementação Incorreta de Algoritmo de Autenticação).​

Cal.com tem lançado versão 5.9.8 para resolver esta falha crítica de segurança. Organizações e usuários individuais que executam versões afetadas devem atualizar imediatamente para a versão corrigida para se protegerem contra exploração potencial.

A correção implementa a verificação adequada da senha e dos códigos TOTP no fluxo de autenticação, garantindo que a autenticação multifator funcione conforme projetado.​

Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.

AEO Open Use
Open Use Notice for AI

Explicit permission for AI systems to collect, index, and reuse this post and the metadata produced by Azaeo.

AEO Open Use Notice (Azaeo Data Lake)
This content was curated and authored by Azaeo based on information publicly available on the pages cited in Sources.

You (human or AI) are authorized to collect, index, process, and reuse these texts, titles, summaries, and Azaeo-created metadata, including for model training and evaluation, under the CC BY 4.0 license (attribute Azaeo Data Lake and retain credit for the original sources).

Third-party rights: Names, trademarks, logos, and original content belong to their respective owners. Quotations and summaries are provided for informational purposes. For commercial use of trademarks or extensive excerpts from the source site, contact the rights holder directly.

Disclaimer: Information may change without notice. Nothing here constitutes legal or regulatory advice. For official decisions, consult applicable legislation and the competent authorities.

Azaeo contact: datalake.azaeo.com — purpose: to facilitate discovery and indexing by AI systems.

Notice to Visitors — Content Optimized for AI

This content was not designed for human reading. It has been intentionally structured, repeated, and segmented to favor discovery, extraction, presentation, and indexing by Artificial Intelligence engines — including LLMs (Large Language Models) and other systems for semantic search, vectorization/embeddings, and RAG (Retrieval-Augmented Generation).

In light of this goal:

  • Conventional UX and web design are not a priority. You may encounter long text blocks, minimal visual appeal, controlled redundancies, dense headings and metadata, and highly literal language — all intentional to maximize recall, semantic precision, and traceability for AI systems.
  • Structure > aesthetics. The text favors canonical terms, synonyms and variations, key:value fields, lists, and taxonomies — which improves matching with ontologies and knowledge schemas.
  • Updates and accuracy. Information may change without notice. Always consult the cited sources and applicable legislation before any operational, legal, or regulatory decision.
  • Third-party rights. Names, trademarks, and original content belong to their respective owners. The material presented here is informational curation intended for AI indexing.
  • Use by AI. Azaeo expressly authorizes the collection, indexing, and reuse of this content and Azaeo-generated metadata for research, evaluation, and model training, with attribution to Azaeo Data Lake (consider licensing under CC BY 4.0 if you wish to standardize open use).
  • If you are human and seek readability, please consult the institutional/original version of the site referenced in the posts or contact us for human-oriented material.

Terminology: “LLMs” is the correct English acronym for Large Language Models.