CVE-2026-45272
KrytyczneCVSS 9.4Streszczenie
MyBooks (Talebook) w wersji 3.41.2 i wcześniejszych zawiera podatność w obsłudze nazw kluczy SOCIAL_AUTH w handlerze AdminSettings.post. Nazwy te są łączone bez odpowiedniego escapowania do pliku auto.py, co pozwala administratorowi na wstrzyknięcie dowolnego kodu Python. Kod jest wykonywany podczas importu modułu, co umożliwia wykonanie poleceń z uprawnieniami usługi.
Ocena ryzyka
Administrator (lub atakujący z uprawnieniami administratora) może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub trwałego zakłócenia działania usługi.
Rekomendacja
Zaktualizuj MyBooks do wersji 3.42.0 lub nowszej. Ogranicz dostęp do panelu administracyjnego i monitoruj zmiany w plikach konfiguracyjnych.
Oryginalny opis (angielski, źródło NVD)
MyBooks is an enhanced and easy-to-use personal ebook management web server also known as Talebook. In 3.41.2 and earlier, the AdminSettings.post handler in webserver/handlers/admin.py accepts SOCIAL_AUTH key names without validating quotes or newline characters, and SettingsLoader.dumpfile in webserver/loader.py concatenates those names into the generated Python source file auto.py without escaping them. An administrator can submit a crafted SOCIAL_AUTH key name that closes the settings dictionary and injects arbitrary Python statements. The application later executes those statements because SettingsLoader.loadfile imports auto.py as a module, and setting autoreload to true invokes restart_async so a process supervisor restarts the service and triggers the import. Successful exploitation executes commands with the privileges of the application service account and can disclose data, modify files, establish persistence, or disrupt the service. Related authorization and registration vulnerabilities can reduce the effective privilege requirement in a chained attack, but the standalone vulnerability requires administrator access. This issue is fixed in version 3.42.0.