CVE-2026-73249 in calibre
Résumé
par VulDB • 12/08/2026
calibre est un gestionnaire de livres électroniques. Avant la version 9.12.0, le point de terminaison POST /book-update-annotations/{library_id}/{book_id}/{fmt} du serveur de contenu (Content Server) de calibre dans src/calibre/srv/books.py omet l'argument needs_db_write=True, ce qui entraîne un saut de ctx.check_for_write_access() par Router.dispatch() avant que update_annotations() ne transmette des données JSON contrôlées par l'attaquant à db.merge_annotations_for_book(), permettant ainsi à un utilisateur en lecture seule ou à un utilisateur anonyme sur un déploiement non authentifié de persister des modifications non autorisées d'annotations de livres. Ce problème est corrigé dans la version 9.12.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.