CVE-2026-45274 in Talebook
Tóm tắt
Bởi VulDB • 19/08/2026
MyBooks là một máy chủ web quản lý sách điện tử, còn được gọi là Talebook. Trong các phiên bản 3.41.2 và sớm hơn, trình xử lý SignUp.post cho POST /api/user/sign_up trong file webserver/handlers/user.py không thực thi cờ cấu hình ALLOW_REGISTER, mặc dù giao diện người dùng (frontend) ẩn các điều khiển đăng ký khi cờ này là false. Một kẻ tấn công từ xa chưa được xác thực có thể gọi trực tiếp điểm cuối này và tạo một tài khoản hợp lệ trên phiên bản mà quản trị viên đã vô hiệu hóa việc đăng ký công khai. Hàm process_auth_header trong webserver/handlers/base.py cũng không kiểm tra cờ active của tài khoản, do đó tài khoản mới được tạo nhưng chưa kích hoạt có thể xác thực ngay lập tức và truy cập các chức năng API ở mức người dùng. Việc bỏ qua này làm vô hiệu hóa chính sách tạo tài khoản dự kiến và có thể cung cấp tài khoản quyền thấp cần thiết cho các lỗ hổng ủy quyền liên quan. Vấn đề này đã được sửa trong phiên bản 3.42.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.