CVE-2026-73249 in calibre

摘要

由 VulDB • 2026-08-12

calibre是一款电子书管理器。在版本9.12.0之前，src/calibre/srv/books.py中的calibre Content Server端点POST /book-update-annotations/{library_id}/{book_id}/{fmt}遗漏了needs_db_write=True参数，导致Router.dispatch()在update_annotations()将攻击者控制的JSON传递给db.merge_annotations_for_book()时跳过了ctx.check_for_write_access()检查。这使得只读用户或未认证部署中的匿名用户能够持久化未经授权的书籍注释更改。此问题已在版本9.12.0中修复。

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• 负责: GitHub M
• 预定: 2026-08-11
• 披露: 2026-08-12
• 管理: 已接受
• 条目: VDB-388787
• CPE: 准备好
• CWE: CWE-285 (已确认)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73249
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73249
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73249/