CVE-2026-45274 in Talebook
الملخص
بحسب VulDB • 20/08/2026
MyBooks هو خادم ويب لإدارة الكتب الإلكترونية يُعرف أيضاً باسم Talebook. في الإصدارات 3.41.2 وما قبلها، لا يفرض معالج SignUp.post الخاص بـ POST /api/user/sign_up الموجود في webserver/handlers/user.py العلم ALLOW_REGISTER، على الرغم من أن الواجهة الأمامية تخفي عناصر التحكم بالتسجيل عندما يكون هذا العلم غير مفعّل (false). يمكن لمهاجم عن بُعد دون عملية مصادقة الاتصال بالنقطة النهائية مباشرةً وإنشاء حساب صالح على مثيل قام مسؤوله بتعطيل التسجيل العام. كما لا تقوم دالة process_auth_header الموجودة في webserver/handlers/base.py بالتحقق من علم "نشط" للحساب، مما يسمح للحساب الجديد غير المفعّل بالمصادقة فوراً والوصول إلى وظائف واجهة برمجة التطبيقات (API) على مستوى المستخدم. يؤدي هذا التخطي إلى إبطال سياسة إنشاء الحسابات المقصودة ويمكنه توفير حساب منخفض الامتياز مطلوب لثغرات تفويض ذات صلة. تم إصلاح هذه المشكلة في الإصدار 3.42.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.