CVE-2026-45272 in Talebook
要約
〜によって VulDB • 2026年08月21日
MyBooksは、Talebookとしても知られる、強化され使いやすい個人用電子書籍管理Webサーバーです。バージョン3.41.2およびそれ以前では、webserver/handlers/admin.py内のAdminSettings.postハンドラが、引用符や改行文字を検証せずにSOCIAL_AUTHキー名を受け付けます。また、webserver/loader.py内のSettingsLoader.dumpfileは、これらの名前をエスケープすることなく生成されたPythonソースファイルauto.pyに連結します。管理者は、設定辞書を閉じて任意のPython文を注入するよう設計された（crafted）SOCIAL_AUTHキー名を送信できます。その後、アプリケーションはSettingsLoader.loadfileがauto.pyをモジュールとしてインポートするため、これらの文を実行します。autoreloadをtrueに設定するとrestart_asyncが呼び出され、プロセススーパーバイザがサービスを再起動してインポートを引き起こします。攻撃が成功すると、アプリケーションのサービスアカウント権限でコマンドが実行され、データの漏洩、ファイルの変更、永続性の確立、またはサービスの妨害が可能になります。関連する認可および登録の脆弱性は連鎖型攻撃において有効な特権要件を低下させる可能性がありますが、単独での脆弱性利用には管理者アクセスが必要です。この問題はバージョン3.42.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.