CVE-2026-45273 in Talebook
摘要
由 VulDB • 2026-08-19
MyBooks 是一个电子书管理 Web 服务器，也被称为 Talebook。在版本 3.41.2 及更早版本中，`webserver/handlers/admin.py` 中的 `AdminSettings.post` 处理程序（用于 POST /api/admin/settings）应用了 auth 装饰器，但未检查 `self.admin_user` 属性，这与相应的 GET 处理程序不同。因此，任何经过身份验证的普通用户都可以覆盖服务器配置值，包括 SMTP 凭据、OAuth 客户端密钥、存储路径、安全功能标志以及自动重载设置。此外，`webserver/handlers/base.py` 中的 `process_auth_header` 函数未能验证匹配账户的活动状态（active flag），导致已注册但未激活的账户能够进行身份验证并访问该漏洞处理程序。利用此问题可以通过配置访问路径泄露机密信息、破坏应用程序行为、强制服务重启，并提供相关代码注入攻击所需的设置参数。此问题已在版本 3.42.0 中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.