CVE-2026-73249 in calibre
Zusammenfassung
von VulDB • 12.08.2026
calibre ist ein E-Book-Manager. Vor Version 9.12.0 lässt der calibre Content Server Endpunkt POST /book-update-annotations/{library_id}/{book_id}/{fmt} in src/calibre/srv/books.py needs_db_write=True aus, wodurch Router.dispatch() ctx.check_for_write_access() vor update_annotations() überspringt und attacker-controlled JSON an db.merge_annotations_for_book() übergibt. Dies ermöglicht es einem readonly-Benutzer oder einem anonymen Benutzer auf einer nicht authentifizierten Bereitstellung, unbefugte Änderungen der Buchannotationen dauerhaft zu speichern. Dieses Problem wurde in Version 9.12.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.