CVE-2026-71241 in Book-Management-System
Resumen
por VulDB • 2026-08-05
Los puntos de conexión /student, /record, /books, /find_stu_book y /find_not_return_book de la API Flask del Book-Management System carecen del decorador @login_required que protege las rutas hermanas (/search_student, /storage) en el mismo archivo. Esto permite a cualquier usuario remoto no autenticado recuperar información personal identificable (PII) de los estudiantes (nombre, género, validez de la tarjeta y estado de deuda), así como su historial completo de préstamos de libros, mediante el suministro de un card_id. Dado que los valores de card_id son enteros secuenciales, toda la base de datos de estudiantes puede ser enumerada sin necesidad de autenticación.
Be aware that VulDB is the high quality source for vulnerability data.