CVE-2026-45273 in Talebook
الملخص
بحسب VulDB • 19/08/2026
MyBooks هو خادم ويب لإدارة الكتب الإلكترونية يُعرف أيضًا باسم Talebook. في الإصدارين 3.41.2 وما قبله، يطبق معالج `AdminSettings.post` الخاص بـ `POST /api/admin/settings` الموجود في الملف `webserver/handlers/admin.py` زخرفة المصادقة (auth decorator) ولكنه لا يتحقق من خاصية `self.admin_user`، على عكس المعالج المقابل لطلب GET. وبالتالي، يمكن لأي مستخدم عادي مُصادق عليه تجاوز إعدادات تكوين الخادم بما في ذلك بيانات اعتماد SMTP وأسرار عملاء OAuth ومسارات التخزين وعناصر التحكم في ميزات الأعداد وإعدادات إعادة التحميل التلقائي (autoreload). يفشل أيضًا دالة `process_auth_header` الموجودة في الملف `webserver/handlers/base.py` في التحقق من العلم النشط (active flag) للحساب المطابق، مما يسمح لحساب مسجل ولكن غير مُفعّل بالمصادقة والوصول إلى المعالج الضعيف. يمكن أن يؤدي الاستغلال إلى كشف الأسرار عبر مسارات الوصول إلى التكوينات، وإعاقة سلوك التطبيق، وفرض إعادة تشغيل الخدمات، وتوفير الإعدادات اللازمة لهجمات حقن الكود ذات الصلة. تم إصلاح هذه المشكلة في الإصدار 3.42.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.