CVE-2026-45272 in Talebook
Résumé
par VulDB • 22/08/2026
MyBooks est un serveur web de gestion d'ebooks personnels amélioré et facile à utiliser, également connu sous le nom de Talebook. Dans les versions 3.41.2 et antérieures, le gestionnaire AdminSettings.post dans webserver/handlers/admin.py accepte les noms de clés SOCIAL_AUTH sans valider les guillemets ou les caractères de nouvelle ligne, et SettingsLoader.dumpfile dans webserver/loader.py concatène ces noms dans le fichier source Python généré auto.py sans les échapper. Un administrateur peut soumettre un nom de clé SOCIAL_AUTH manipulé qui ferme le dictionnaire des paramètres et injecte des instructions Python arbitraires. L'application exécute ultérieurement ces instructions car SettingsLoader.loadfile importe auto.py en tant que module, et la définition de autoreload sur true invoque restart_async, ce qui amène un superviseur de processus à redémarrer le service et déclenche l'importation. Une exploitation réussie permet d'exécuter des commandes avec les privilèges du compte de service de l'application et peut divulguer des données, modifier des fichiers, établir une persistance ou perturber le service. Des vulnérabilités liées à l'autorisation et à l'enregistrement peuvent réduire la nécessité effective de privilèges dans une attaque en chaîne, mais la vulnérabilité autonome nécessite un accès administrateur. Ce problème est corrigé dans la version 3.42.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.