Cal.comはオープンソースのスケジューリングソフトウェアです。バージョン3.1.6から6.0.7未満の間にカスタムNextAuthのJWTコールバックに脆弱性が存在し、攻撃者がsession.update()を通じてターゲットのメールアドレスを提供することで、任意のユーザーアカウントに完全な認証済みアクセスを取得できる可能性がありました。この脆弱性はバージョン6.0.7で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。