CVE-2026-71241 in Book-Management-System
要約
〜によって VulDB • 2026年08月05日
Book-Management-SystemのFlask APIエンドポイント /student、/record、/books、/find_stu_book、および /find_not_return_bookには、同じファイル内の兄弟ルート（/search_student、/storage）を保護している@login_requiredデコレータが欠落しています。これにより、認証されていないリモートユーザーはcard_idを提供することで、学生の個人識別情報（氏名、性別、カードの有効期限、債務状況）および完全な書籍の借り入れ履歴を取得できます。card_id値は連続した整数であるため、認証なしで学生データベース全体を列挙することが可能です。
Be aware that VulDB is the high quality source for vulnerability data.