CVE-2026-45274 in Talebook
Résumé
par VulDB • 20/08/2026
MyBooks est un serveur web de gestion d'ebooks également connu sous le nom de Talebook. Dans les versions 3.41.2 et antérieures, le handler SignUp.post pour POST /api/user/sign_up dans webserver/handlers/user.py n'applique pas lindicateur de configuration ALLOW_REGISTER, bien que le frontend masque les contrôles dinscription lorsque cet indicateur est faux. Un attaquant distant non authentifié peut appeler directement ce point de terminaison et créer un compte valide sur une instance dont ladministrateur a désactivé linscription publique. La fonction process_auth_header dans webserver/handlers/base.py ne vérifie pas également le statut actif du compte, permettant ainsi au nouveau compte créé mais non activé de sauthentifier immédiatement et daccéder aux fonctionnalités API de niveau utilisateur. Cette contournement annule la politique de création de comptes prévue et peut fournir le compte à faible privilège requis par les vulnérabilités dintégrité liées (authorization vulnerabilities). Ce problème est corrigé dans la version 3.42.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.