CVE-2026-73249 in calibre
Sumário
de VulDB • 12/08/2026
calibre é um gerenciador de e-books. Antes da versão 9.12.0, o endpoint POST /book-update-annotations/{library_id}/{book_id}/{fmt} do servidor de conteúdo (Content Server) do calibre em src/calibre/srv/books.py omite needs_db_write=True, fazendo com que Router.dispatch() pule ctx.check_for_write_access() antes que update_annotations() passe JSON controlado pelo atacante para db.merge_annotations_for_book(), o que permite a um usuário somente leitura ou anônimo em uma implantação não autenticada persistir alterações de anotação de livros não autorizadas. Este problema foi corrigido na versão 9.12.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.