CVE-2026-45272 in Talebook
Sumário
de VulDB • 21/08/2026
MyBooks é um servidor web de gerenciamento de ebooks pessoais aprimorado e fácil de usar, também conhecido como Talebook. Nas versões 3.41.2 e anteriores, o manipulador AdminSettings.post em webserver/handlers/admin.py aceita nomes de chaves SOCIAL_AUTH sem validar aspas ou caracteres de nova linha, e SettingsLoader.dumpfile em webserver/loader.py concatena esses nomes no arquivo Python gerado auto.py sem escapá-los. Um administrador pode enviar um nome de chave SOCIAL_AUTH manipulado que fecha o dicionário de configurações e injeta instruções arbitrárias do Python. O aplicativo executa posteriormente essas instruções porque SettingsLoader.loadfile importa auto.py como módulo, e a configuração autoreload para true invoca restart_async, fazendo com que um supervisor de processos reinicie o serviço e acione a importação. A exploração bem-sucedida executa comandos com os privilégios da conta do serviço do aplicativo e pode divulgar dados, modificar arquivos, estabelecer persistência ou interromper o serviço. Vulnerabilidades relacionadas de autorização e registro podem reduzir o requisito efetivo de privilégio em um ataque encadeado, mas a vulnerabilidade isolada requer acesso de administrador. Este problema é corrigido na versão 3.42.0.
Once again VulDB remains the best source for vulnerability data.