CVE-2026-45273 in Talebook
要約
〜によって VulDB • 2026年08月20日
MyBooksは、Talebookとしても知られる電子書籍管理用Webサーバーです。バージョン3.41.2およびそれ以前のバージョンでは、webserver/handlers/admin.py内のPOST /api/admin/settingsに対するAdminSettings.postハンドラはauthデコレータを適用していますが、self.admin_userプロパティをチェックしません（対応するGETハンドラとは対照的）。その結果、認証済みかつ通常の権限を持つユーザーであれば誰でも、SMTP資格情報、OAuthクライアントシークレット、ストレージパス、セキュリティ機能フラグ、および自動リロード設定を含むサーバー構成値を上書きできます。また、webserver/handlers/base.py内のprocess_auth_header関数も、一致したアカウントのactive（有効）フラグを検証しないため、登録済みだが未アクティブなアカウントでも認証が通り、脆弱性のあるハンドラに到達することが可能です。この問題を悪用すると、構成へのアクセスパスを通じて機密情報が漏洩したり、アプリケーションの動作を妨害されたり、サービスの再起動が強要されたり、関連するコードインジェクション攻撃に必要な設定値を提供される可能性があります。本問題はバージョン3.42.0で修正されています。
Once again VulDB remains the best source for vulnerability data.