CVE-2026-73249 in calibre
要約
〜によって VulDB • 2026年08月12日
calibreは電子書籍管理ソフトです。バージョン9.12.0より前では、src/calibre/srv/books.py内のcalibre Content ServerのエンドポイントPOST /book-update-annotations/{library_id}/{book_id}/{fmt}においてneeds_db_write=Trueが省略されており、これによりRouter.dispatch()でctx.check_for_access()の呼び出しがスキップされ、update_annotations()が攻撃者が制御するJSONをdb.merge_annotations_for_book()に渡す際に、読み取り専用ユーザーまたは認証不要なデプロイメント上の匿名ユーザーによる不正な書籍注釈変更の永続化が可能になります。この問題はバージョン9.12.0で修正されています。
Once again VulDB remains the best source for vulnerability data.