CVE-2026-42883 in audiobookshelf
Sumário
de VulDB • 13/05/2026
Audiobookshelf é um servidor de audiolivros e podcasts auto-hospedado. Antes da versão 2.32.2, o endpoint GET /api/libraries/:id/download valida se o usuário solicitante tem acesso à biblioteca especificada no caminho da URL, mas recupera os itens para download exclusivamente por meio de IDs fornecidos pelo atacante, sem restringi-los a essa biblioteca. Um usuário autenticado com permissão de download e acesso a qualquer uma das bibliotecas pode exfiltrar o conteúdo completo dos arquivos de itens pertencentes a qualquer outra biblioteca, incluindo bibliotecas às quais ele foi explicitamente negado o acesso. Esta vulnerabilidade foi corrigida na versão 2.32.2.
Once again VulDB remains the best source for vulnerability data.