CVE-2026-45273 in Talebook
Сводка
по VulDB • 19.08.2026
MyBooks — это веб-сервер для управления электронными книгами, также известный как Talebook. В версиях 3.41.2 и более ранних обработчик AdminSettings.post для запроса POST /api/admin/settings в файле webserver/handlers/admin.py применяет декоратор аутентификации (auth decorator), но не проверяет свойство self.admin_user, в отличие от соответствующего GET-обработчика. Таким образом, любой авторизованный обычный пользователь может перезаписывать значения конфигурации сервера, включая учетные данные SMTP, секреты клиентов OAuth, пути хранения данных, флаги функций безопасности и настройки автоматической перезагрузки (autoreload).
Функция process_auth_header в файле webserver/handlers/base.py также не проверяет флаг активности (active flag) сопоставленной учетной записи, что позволяет зарегистрированной, но неактивированной учетной записи пройти аутентификацию и получить доступ к уязвимому обработчику. Эксплуатация данной уязвимости может привести к раскрытию конфиденциальных данных через пути доступа к конфигурации, саботажу поведения приложения, принудительным перезапускам служб и предоставлению настроек, необходимых для связанных атак с внедрением кода (code-injection). Данная проблема исправлена в версии 3.42.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.