CVE-2026-45274 in Talebook
요약
\~에 의해 VulDB • 2026. 08. 22.
MyBooks는 Talebook라고도 알려진 전자책 관리 웹 서버입니다. 버전 3.41.2 및 그 이전 버전에서 webserver/handlers/user.py의 POST /api/user/sign_up에 대한 SignUp.post 핸들러는 프론트엔드가 해당 플래그가 false일 때 등록 컨트롤을 숨기더라도 ALLOW_REGISTER 구성 플래그를 강제하지 않습니다. 인증되지 않은 원격 공격자는 엔드포인트를 직접 호출하여 관리자가 공개 등록을 비활성화한 인스턴스에서 유효한 계정을 생성할 수 있습니다. 또한 webserver/handlers/base.py의 process_auth_header 함수는 계정의 active 플래그를 검증하지 않으므로, 새로 생성되고 아직 활성화되지 않은 계정도 즉시 인증되어 사용자 수준 API 기능에 접근할 수 있습니다. 이러한 우회는 의도된 계정 생성 정책을 무력화하며, 관련 권한 부여 취약점(Related Authorization Vulnerabilities)에서 필요한 낮은 특권(low-privilege) 계정을 제공할 수 있습니다. 이 문제는 버전 3.42.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.