CVE-2025-71389: Kritisk fjernkodeudførelse i Cal.com
Cal.com før version 5.9.9 kan overtages uden login på grund af en fejl i Next.js. Opdatér til 5.9.9 nu.
Hvad er det?
CVE-2025-71389 er en kritisk sårbarhed i Cal.com (calcom/cal.diy), et open source-system til booking af møder. Fejlen ligger i en indbygget version af Next.js, det webudviklingsframework Cal.com bruger til at bygge sine sider. Next.js-delen, der kaldes React Server Components (RSC), håndterer forespørgsler fra browseren ved at omdanne data tilbage til programkode, en proces der kaldes deserialisering. Fordi Cal.com ikke kontrollerer, hvad der ligger i disse data, kan en angriber sende en særligt udformet forespørgsel og få serveren til at afvikle vilkårlig kode. Fejlen stammer fra sårbarheden CVE-2025-55182 i selve Next.js og er rettet i Cal.com version 5.9.9 ved at opdatere denne afhængighed.
Hvem rammer det?
Sårbarheden rammer alle, der driver en selvhostet installation af Cal.com (calcom/cal.diy) i en version før 5.9.9. Det gælder virksomheder og kommuner, der bruger Cal.com som bookingsystem til møder, kundeaftaler eller konsultationer, og som selv står for driften af serveren, enten på egne servere eller i en sky-løsning som Docker eller Kubernetes. Bruger I den hostede udgave på cal.com, er I ikke selv ansvarlige for opdateringen, men bør bekræfte det hos leverandøren.
Hvad kan ske?
En angriber kan opnå fuld kontrol over den server, der kører Cal.com, uden at kende et brugernavn eller kodeord og uden at nogen medarbejder skal klikke på noget. Det betyder adgang til bookingdata, kundeoplysninger, kalenderintegrationer og eventuelt andre systemer på samme netværk. For en dansk virksomhed kan det føre til datatab, afpresning med ransomware eller misbrug af serveren som springbræt ind i resten af it-miljøet.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver ikke login og ingen brugerhandling. Det kan udføres over internettet mod enhver server, der er tilgængelig, og kompromitterer fortrolighed, integritet og tilgængelighed fuldt ud. Der er ikke dokumenteret aktiv udnyttelse i naturen på offentliggørelsestidspunktet, men fejlen bygger på en kendt Next.js-sårbarhed, og angrebsmønstret er enkelt at automatisere.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis I allerede er ramt:
- Opdatér Cal.com til version 5.9.9 eller nyere. Dette lukker sårbarheden direkte.
- Er øjeblikkelig opdatering ikke mulig, så afskær ekstern adgang til Cal.com-serveren midlertidigt, for eksempel via firewall eller VPN, indtil opdateringen er gennemført.
- Gennemgå logfiler for usædvanlige RSC-forespørgsler eller uventet serveraktivitet i perioden før opdateringen.
- Roter adgangskoder og nøgler, der er gemt eller tilgængelige fra Cal.com-serveren, hvis I finder tegn på kompromittering.
- Tjek om jeres server har andre tjenester eller data på samme netværk, der bør isoleres, indtil opdateringen er verificeret.
- Er I i tvivl om, hvorvidt I er ramt, eller finder I spor efter angreb, bør I hente ekstern hjælp til undersøgelse og oprydning.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Cal.com til version 5.9.9 så hurtigt som muligt, da sårbarheden kan udnyttes uden login og giver fuld kontrol over serveren. Er I nødt til at vente, bør I i mellemtiden lukke for ekstern adgang til systemet. Det er kun forsvarligt at vente på opdateringen, hvis Cal.com-serveren allerede er fuldstændig isoleret fra internettet.
Tidslinje
Konkrete eksempler
Selvhostet bookingsystem hos en dansk klinik
En privat klinik i Danmark driver sin egen Cal.com-installation til at booke patienttider og har ikke opdateret siden version 5.8. En angriber finder serveren via en almindelig internetscanning, sender en forberedt RSC-forespørgsel og får kørt kode på serveren. Herfra får angriberen adgang til patientdata og kan installere yderligere malware på netværket. Klinikken opdager først hændelsen, da systemet begynder at fejle, og skal derefter både genoprette systemet og vurdere anmeldelsespligt til Datatilsynet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger en sårbar version af Cal.com?
Tjek versionsnummeret i jeres Cal.com-installation, enten i administrationspanelet eller i konfigurationsfilerne. Alle versioner før 5.9.9 er sårbare.
Kan vi vente til weekenden med at opdatere?
Det frarådes. Sårbarheden kræver ikke login og kan udnyttes automatiseret over internettet, så risikoen for udnyttelse stiger, jo længere systemet er tilgængeligt uden rettelsen.
Er vi ramt, hvis vi bruger cal.com's hostede løsning i stedet for at selvhoste?
Nej, sårbarheden gælder selvhostede installationer af calcom/cal.diy. Bruger I den hostede tjeneste på cal.com, er det leverandørens ansvar at opdatere, men det er en god idé at bekræfte det hos dem.
Skal vi anmelde hændelsen, hvis vi finder tegn på angreb?
Finder I bevis for, at nogen har udnyttet sårbarheden og fået adgang til personoplysninger, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt underrette Datatilsynet inden for 72 timer.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Afskær ekstern adgang til Cal.com-serveren via firewall eller VPN, indtil I kan gennemføre opdateringen. Dette begrænser angrebsfladen betydeligt.
Påvirker fejlen andre systemer, der bruger Next.js?
Fejlen stammer fra en sårbarhed i selve Next.js, CVE-2025-55182. Andre applikationer, der bruger en sårbar Next.js-version med samme RSC-funktion, kan også være berørt og bør tjekkes særskilt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Cal.com (calcom/cal.diy) before 5.9.9 is vulnerable to unauthenticated remote code execution because it bundles a version of Next.js whose React Server Components (RSC) request handling deserializes attacker-controlled input. A remote attacker can send a crafted RSC request to the server and cause arbitrary code to be executed during server-side processing, without authentication or user interaction. The flaw derives from the upstream Next.js vulnerability CVE-2025-55182 and is resolved in 5.9.9 by updating the affected dependency.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.