CVE-2026-7709

ŚrednieCVSS 6.3

Opublikowano: 03/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

W janeczku Calibre-Web do wersji 0.6.26 zidentyfikowano podatność w funkcji generate_auth_token w pliku cps/kobo_auth.py. Manipulacja argumentem user_id prowadzi do niewłaściwej autoryzacji, a atak można przeprowadzić zdalnie.

Ocena ryzyka

Zdalny atakujący może uzyskać nieuprawniony dostęp do zasobów lub funkcji aplikacji poprzez manipulację identyfikatorem użytkownika. Może to prowadzić do naruszenia poufności danych biblioteki.

Rekomendacja

Zaktualizuj Calibre-Web do wersji zawierającej poprawkę, gdy będzie dostępna. Do czasu naprawy ogranicz dostęp do endpointu generowania tokenów.

Inne podatności w Calibre-Web

CVE-2025-65858Niskie
W Calibre-Web v0.6.25 występuje podatność Stored Cross-Site Scripting (XSS), która pozwala atakującym wstrzyknąć złośliwy JavaScript do pola 'username' podczas tworzenia użytkownika. Ładunek jest przechowywany bez sanityzacji i później wykonywany przy dostępie do endpointu /ajax/listusers.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in janeczku Calibre-Web up to 0.6.26. The impacted element is the function generate_auth_token of the file cps/kobo_auth.py of the component Endpoint. Such manipulation of the argument user_id leads to improper authorization. The attack may be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS