CVE-2026-73249
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
calibre to menedżer e-booków. Przed wersją 9.12.0 punkt końcowy Content Server POST /book-update-annotations/{library_id}/{book_id}/{fmt} w src/calibre/srv/books.py pomija needs_db_write=True, co powoduje, że Router.dispatch() pomija ctx.check_for_write_access() przed update_annotations(), który przekazuje kontrolowane przez atakującego dane JSON do db.merge_annotations_for_book(). Pozwala to użytkownikowi tylko do odczytu lub anonimowemu użytkownikowi w niezabezpieczonym wdrożeniu na trwałe zapisanie nieautoryzowanych zmian adnotacji książek. Problem naprawiono w wersji 9.12.0.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą modyfikować adnotacje książek, co może prowadzić do naruszenia integralności danych i zaufania do systemu.
Rekomendacja
Zaktualizuj calibre do wersji 9.12.0 lub nowszej. Upewnij się, że dostęp do Content Server jest odpowiednio zabezpieczony.
Oryginalny opis (angielski, źródło NVD)
calibre is an e-book manager. Prior to 9.12.0, the calibre Content Server endpoint POST /book-update-annotations/{library_id}/{book_id}/{fmt} in src/calibre/srv/books.py omits needs_db_write=True, causing Router.dispatch() to skip ctx.check_for_write_access() before update_annotations() passes attacker-controlled JSON to db.merge_annotations_for_book(), which allows a readonly user or an anonymous user on an unauthenticated deployment to persist unauthorized book annotation changes. This issue is fixed in version 9.12.0.