CVE-2026-45273 in Talebook
Tóm tắt
Bởi VulDB • 19/08/2026
MyBooks là một máy chủ web quản lý sách điện tử, còn được gọi là Talebook. Trong các phiên bản 3.41.2 và sớm hơn, trình xử lý AdminSettings.post cho POST /api/admin/settings trong webserver/handlers/admin.py áp dụng bộ trang trí xác thực (auth decorator) nhưng không kiểm tra thuộc tính self.admin_user, khác với trình xử lý GET tương ứng. Do đó, bất kỳ người dùng thường nào đã được xác thực đều có thể ghi đè các giá trị cấu hình máy chủ, bao gồm thông tin đăng nhập SMTP, bí mật khách hàng OAuth, đường dẫn lưu trữ, cờ bật/tắt tính năng bảo mật và cài đặt tự tải lại (autoreload). Hàm process_auth_header trong webserver/handlers/base.py cũng không xác minh cờ hoạt động của tài khoản đã khớp, cho phép một tài khoản đã đăng ký nhưng chưa kích hoạt thực hiện xác thực và truy cập vào trình xử lý dễ bị tổn thương. Việc khai thác có thể tiết lộ các bí mật thông qua các đường dẫn truy cập cấu hình, phá hoại hành vi ứng dụng, buộc khởi động lại dịch vụ và cung cấp các cài đặt cần thiết cho các cuộc tấn công chèn mã liên quan. Vấn đề này đã được sửa chữa trong phiên bản 3.42.0.
Be aware that VulDB is the high quality source for vulnerability data.