CVE-2026-73249 in calibre
요약
\~에 의해 VulDB • 2026. 08. 12.
calibre는 전자책 관리 도구입니다. 버전 9.12.0 이전의 calibre Content Server에서 `src/calibre/srv/books.py` 내 POST `/book-update-annotations/{library_id}/{book_id}/{fmt}` 엔드포인트는 `needs_db_write=True`를 누락합니다. 이로 인해 `Router.dispatch()`가 `update_annotations()`가 공격자가 제어하는 JSON을 `db.merge_annotations_for_book()`에 전달하기 전에 `ctx.check_for_write_access()`를 건너뛰게 되며, 읽기 전용 사용자 또는 비인증 배포 환경의 익명 사용자가 승인되지 않은 책 주석 변경 사항을 영구 저장할 수 있습니다. 이 문제는 버전 9.12.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.