CVE-2026-73248
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Calibre przed wersją 9.12.0 przetwarza sterowane przez atakującego metadane composite_template ze złośliwych plików EPUB, OPF, PDF lub podobnych przez program: i zagnieżdżone wywołanie template(), którego formatter nie dziedziczy allow_python_templates=False, co pozwala zagnieżdżonemu szablonowi python: dotrzeć do compile_python_template i wykonać dowolny kod Pythona podczas otwierania lub importowania pliku. Problem został naprawiony w wersji 9.12.0.
Ocena ryzyka
Użytkownik otwierający złośliwy plik e-booka może doprowadzić do wykonania dowolnego kodu na swoim komputerze, co może skutkować przejęciem kontroli nad systemem lub kradzieżą danych.
Rekomendacja
Zaktualizuj Calibre do wersji 9.12.0 lub nowszej. Unikaj otwierania plików e-booków z nieznanych źródeł.
Oryginalny opis (angielski, źródło NVD)
calibre is an e-book manager. Prior to 9.12.0, calibre processes attacker-controlled composite_template metadata from a malicious EPUB, OPF, PDF, or similar file through program: and a nested template() call whose formatter does not inherit allow_python_templates=False, allowing a nested python: template to reach compile_python_template and execute arbitrary Python code when the file is opened or imported. This issue is fixed in version 9.12.0.