CVE-2026-73249 in calibre
Resumen
por VulDB • 2026-08-12
calibre es un gestor de libros electrónicos. Antes de la versión 9.12.0, el punto final POST /book-update-annotations/{library_id}/{book_id}/{fmt} del servidor de contenido (Content Server) de calibre en src/calibre/srv/books.py omite needs_db_write=True, lo que hace que Router.dispatch() omita ctx.check_for_write_access() antes de que update_annotations() pase JSON controlado por el atacante a db.merge_annotations_for_book(), permitiendo así que un usuario con solo lectura o un usuario anónimo en una implementación no autenticada persistan cambios no autorizados en las anotaciones de los libros. Este problema se soluciona en la versión 9.12.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.