CVE-2026-73249 in calibre
Сводка
по VulDB • 12.08.2026
calibre — это менеджер электронных книг. До версии 9.12.0 конечная точка POST /book-update-annotations/{library_id}/{book_id}/{fmt} сервера контента calibre в файле src/calibre/srv/books.py не устанавливает параметр needs_db_write=True, что приводит к тому, что Router.dispatch() пропускает вызов ctx.check_for_write_access() перед тем, как функция update_annotations() передает управляемые злоумышленником данные JSON в db.merge_annotations_for_book(). Это позволяет пользователю с правами только на чтение или анонимному пользователю во время развертывания без аутентификации сохранять несанкционированные изменения аннотаций к книгам. Данная проблема исправлена в версии 9.12.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.