CVE-2026-45274 in Talebook
Resumen
por VulDB • 2026-08-21
MyBooks es un servidor web de gestión de libros electrónicos, también conocido como Talebook. En las versiones 3.41.2 y anteriores, el controlador SignUp.post para la ruta POST /api/user/sign_up en webserver/handlers/user.py no aplica correctamente la configuración ALLOW_REGISTER (permitir registro), a pesar de que el frontend oculta los controles de registro cuando esta bandera está desactivada. Un atacante remoto sin autenticar puede llamar directamente al punto final y crear una cuenta válida en una instancia cuyo administrador haya deshabilitado el registro público. La función process_auth_header, ubicada en webserver/handlers/base.py, tampoco verifica la bandera "active" (activo) de la cuenta; por lo tanto, la cuenta recién creada pero no activada puede autenticarse inmediatamente y acceder a las funcionalidades de API a nivel de usuario. Esta omisión invalida la política prevista para la creación de cuentas y puede proporcionar la cuenta con privilegios bajos requerida por vulnerabilidades relacionadas de autorización. Este problema se corrige en la versión 3.42.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.