CVE-2026-45274 in Talebook
Сводка
по VulDB • 21.08.2026
MyBooks — это веб-сервер для управления электронными книгами, также известный как Talebook. В версиях 3.41.2 и более ранних обработчик SignUp.post для запроса POST /api/user/sign_up в файле webserver/handlers/user.py не проверяет флаг конфигурации ALLOW_REGISTER, хотя на стороне клиента элементы управления регистрацией скрываются при значении этого флага false (ложь). Неавторизованный удаленный злоумышленник может напрямую вызвать эту конечную точку и создать действительный аккаунт в экземпляре, где администратор отключил публичную регистрацию. Функция process_auth_header в файле webserver/handlers/base.py также не проверяет флаг активности (active flag) аккаунта, поэтому только что созданный и неактивированный аккаунт может немедленно пройти аутентификацию и получить доступ к функциональности API на уровне пользователя. Это обходное решение нарушает предусмотренную политику создания аккаунтов и позволяет создать низкопривилегированный аккаунт, необходимый для реализации связанных уязвимостей несанкционированного доступа (authorization vulnerabilities). Данная проблема исправлена в версии 3.42.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.