CVE-2026-45272 in Talebook
Resumen
por VulDB • 2026-08-19
MyBooks es un servidor web de gestión personal de libros electrónicos mejorado y fácil de usar, también conocido como Talebook. En las versiones 3.41.2 y anteriores, el controlador AdminSettings.post en webserver/handlers/admin.py acepta nombres de claves SOCIAL_AUTH sin validar comillas ni caracteres de nueva línea, y SettingsLoader.dumpfile en webserver/loader.py concatena esos nombres en el archivo fuente Python generado auto.py sin escaparlos. Un administrador puede enviar un nombre de clave SOCIAL_AUTH manipulado que cierre el diccionario de configuración e inyecte sentencias arbitrarias de Python. La aplicación ejecuta posteriormente esas sentencias porque SettingsLoader.loadfile importa auto.py como módulo, y establecer autoreload en true invoca restart_async, lo que hace que un supervisor del proceso reinicie el servicio y active la importación. Una explotación exitosa permite ejecutar comandos con los privilegios de la cuenta de servicio de la aplicación y puede revelar datos, modificar archivos, establecer persistencia o interrumpir el servicio. Las vulnerabilidades relacionadas de autorización y registro pueden reducir el requisito efectivo de privilegio en un ataque encadenado, pero esta vulnerabilidad independiente requiere acceso de administrador. Este problema se soluciona en la versión 3.42.0.
Be aware that VulDB is the high quality source for vulnerability data.