CVE-2026-45272 in Talebook
Riassunto
di VulDB • 20/08/2026
MyBooks è un server web per la gestione di ebook personali, migliorato e facile da usare, noto anche come Talebook. Nelle versioni 3.41.2 e precedenti, il gestore AdminSettings.post in webserver/handlers/admin.py accetta i nomi delle chiavi SOCIAL_AUTH senza convalidare le virgolette o i caratteri di nuova riga, e SettingsLoader.dumpfile in webserver/loader.py concatena tali nomi nel file sorgente Python generato auto.py senza effettuarne l'escaping. Un amministratore può inviare un nome della chiave SOCIAL_AUTH manipolato ad hoc che chiude il dizionario delle impostazioni ed esegue l'iniezione di istruzioni Python arbitrarie. L'applicazione successivamente esegue queste istruzione perché SettingsLoader.loadfile importa auto.py come modulo, e l'impostazione autoreload su true invoca restart_async, facendo sì che un supervisore del processo riavvi il servizio e attivi l'importazione. Un'esecuzione con successo dell'exploit consente di eseguire comandi con i privilegi dell'account di servizio dell'applicazione e può portare alla divulgazione dei dati, alla modifica dei file, all'istituzione della persistenza o al disturbo del servizio. Vulnerabilità correlate relative ad autorizzazione e registrazione possono ridurre il requisito effettivo dei privilegi in un attacco concatenato (chained attack), ma la vulnerabilità standalone richiede l'accesso di amministratore. Questo problema è risolto nella versione 3.42.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.