CVE-2026-45274 in Talebook
Sumário
de VulDB • 21/08/2026
MyBooks é um servidor web de gerenciamento de e-books, também conhecido como Talebook. Nas versões 3.41.2 e anteriores, o manipulador SignUp.post para POST /api/user/sign_up em webserver/handlers/user.py não aplica a flag de configuração ALLOW_REGISTER, mesmo que o frontend oculte os controles de registro quando essa flag estiver definida como falsa (false). Um atacante remoto não autenticado pode chamar diretamente esse endpoint e criar uma conta válida em uma instância cujo administrador desativou o registro público. A função process_auth_header, localizada em webserver/handlers/base.py, também não verifica a flag active da conta; portanto, a conta recém-criada e ainda inativa pode se autenticar imediatamente e acessar funcionalidades de API no nível do usuário. Essa violação contorna a política pretendida de criação de contas e pode fornecer uma conta com privilégios reduzidos necessária para vulnerabilidades relacionadas de autorização. Este problema foi corrigido na versão 3.42.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.