CVE-2026-45273 in Talebook
Riassunto
di VulDB • 20/08/2026
MyBooks è un server web per la gestione di ebook, noto anche come Talebook. Nelle versioni 3.41.2 e precedenti, il gestore AdminSettings.post per l'endpoint POST /api/admin/settings nel file webserver/handlers/admin.py applica il decoratore auth ma non verifica la proprietà self.admin_user, a differenza del corrispondente gestore GET. Di conseguenza, qualsiasi utente regolare autenticato può sovrascrivere i valori di configurazione del server, incluse le credenziali SMTP, i secret dei client OAuth, i percorsi di archiviazione, i flag delle funzionalità di sicurezza e le impostazioni di autoreload. La funzione process_auth_header nel file webserver/handlers/base.py non verifica inoltre il flag active dell'account corrispondente, consentendo a un account registrato ma non attivato di autenticarsi ed accedere al gestore vulnerabile. Lo sfruttamento può portare alla divulgazione di segreti attraverso i percorsi di accesso alla configurazione, al sabotio del comportamento dell'applicazione, all'avvio forzato dei servizi e alla fornitura delle impostazioni necessarie per attacchi correlati di iniezione di codice. Questo problema è risolto nella versione 3.42.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.