CVE-2026-93954
ŚrednieCVSS 4.3Streszczenie
Wykryto podatność bezpieczeństwa w grimmory-tools grimmory do wersji 3.3.3/3.4.1. Dotyczy funkcji AppSettingController.getAppSettings w pliku backend/src/main/java/org/booklore/controller/AppSettingController.java komponentu Settings API Endpoint. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty. Nazwa poprawki to 2b66ca6df8110f6b512e030b54c16b9fbe318f17. Zaleca się zastosowanie poprawki.
Ocena ryzyka
Atakujący może uzyskać dostęp do ustawień aplikacji, co może prowadzić do ujawnienia poufnych informacji.
Rekomendacja
Zastosuj poprawkę 2b66ca6df8110f6b512e030b54c16b9fbe318f17. Zaktualizuj grimmory do wersji zawierającej tę poprawkę.
Inne podatności w grimmory
Zobacz wszystkie- CVE-2026-93955Średnie
Wykryto podatność w grimmory-tools grimmory do wersji 3.3.3/3.4.1. Dotyczy funkcji streamFileToResponse w pliku backend/src/main/java/org/booklore/controller/KoboController.java komponentu Download Endpoint. Manipulacja argumentem bookId prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.
- CVE-2026-42451Średnie
Grimmory, samodzielnie hostowana biblioteka cyfrowa, przed wersją 2.3.1 zawiera podatność na trwałe cross-site scripting (XSS) w czytniku EPUB opartym na przeglądarce. Pozwala to atakującemu na osadzenie dowolnego JavaScript w spreparowanym pliku EPUB. Gdy ofiara otworzy książkę, skrypt wykonuje się w jej przeglądarce z pełnym dostępem do kontekstu sesji aplikacji Grimmory. Może to umożliwić kradzież tokena sesji i przejęcie konta, w tym dostęp administracyjny, jeśli administrator otworzy zainfekowaną książkę. Podatność została załatana w wersji 2.3.1.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in grimmory-tools grimmory up to 3.3.3/3.4.1. Affected is the function AppSettingController.getAppSettings of the file backend/src/main/java/org/booklore/controller/AppSettingController.java of the component Settings API Endpoint. Such manipulation leads to incorrect authorization. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. The name of the patch is 2b66ca6df8110f6b512e030b54c16b9fbe318f17. Applying a patch is advised to resolve this issue. PR #2558, merged as 53abc8b, moved the OIDC secret into a dedicated setting, but did not by itself restrict GET /api/v1/settings.