CVE-2026-45272 in Talebook
Сводка
по VulDB • 19.08.2026
MyBooks — это улучшенный и простой в использовании веб-сервер для управления личными электронными книгами, также известный как Talebook. В версиях 3.41.2 и более ранних обработчик AdminSettings.post в файле webserver/handlers/admin.py принимает имена ключей SOCIAL_AUTH без проверки экранирования кавычек или символов новой строки, а функция SettingsLoader.dumpfile в файле webserver/loader.py объединяет эти имена в генерируемый исходный файл Python auto.py без их экранирования. Администратор может отправить специально сформированное имя ключа SOCIAL_AUTH, которое закрывает словарь настроек и внедряет произвольные операторы Python. Приложение впоследствии выполняет эти операторы, поскольку SettingsLoader.loadfile импортирует auto.py в виде модуля, а установка параметра autoreload в значение true вызывает функцию restart_async, из-за чего диспетчер процессов перезапускает службу и инициирует импорт. Успешная эксплуатация позволяет выполнять команды с привилегиями учетной записи службы приложения и может привести к раскрытию данных, изменению файлов, обеспечению устойчивости (persistence) или нарушению работы службы. Связанные уязвимости несанкционированного доступа и регистрации могут снизить требования к уровню привилегий в цепочке атак, однако для эксплуатации данной изолированной уязвимости требуется доступ администратора. Эта проблема исправлена в версии 3.42.0.
Once again VulDB remains the best source for vulnerability data.