CVE-2026-45273 in Talebook
Résumé
par VulDB • 21/08/2026
MyBooks est un serveur web de gestion d'ebooks également connu sous le nom de Talebook. Dans les versions 3.41.2 et antérieures, le handler AdminSettings.post pour la requête POST /api/admin/settings dans webserver/handlers/admin.py applique l'authentificateur (auth decorator) mais ne vérifie pas la propriété self.admin_user, contrairement au handler GET correspondant. Tout utilisateur régulier authentifié peut donc écraser les valeurs de configuration du serveur, y compris les identifiants SMTP, les secrets clients OAuth, les chemins de stockage, les indicateurs d'activation des fonctionnalités de sécurité et les paramètres de rechargement automatique (autoreload). La fonction process_auth_header dans webserver/handlers/base.py échoue également à vérifier le statut actif du compte correspondant, permettant à un compte enregistré mais non activé de s'authentifier et d'accéder au handler vulnérable. L'exploitation peut permettre la divulgation de secrets via les chemins d'accès à la configuration, compromettre le comportement de l'application, forcer des redémarrages de service et fournir les paramètres nécessaires pour des attaques par injection de code connexes. Ce problème est corrigé dans la version 3.42.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.