Podatności MyBooks

MyBooks (Talebook) w wersji 3.41.2 i wcześniejszych nie egzekwuje flagi konfiguracyjnej ALLOW_REGISTER w handlerze SignUp.post, co pozwala nieuwierzytelnionemu atakującemu na utworzenie konta nawet gdy administrator wyłączył publiczną rejestrację. Dodatkowo funkcja process_auth_header nie weryfikuje flagi aktywacji konta, więc nowo utworzone nieaktywowane konto może się natychmiast uwierzytelnić i uzyskać dostęp do funkcji API na poziomie użytkownika. Problem został naprawiony w wersji 3.42.0.

MyBooks (Talebook) w wersji 3.41.2 i wcześniejszych zawiera podatność w obsłudze nazw kluczy SOCIAL_AUTH w handlerze AdminSettings.post. Nazwy te są łączone bez odpowiedniego escapowania do pliku auto.py, co pozwala administratorowi na wstrzyknięcie dowolnego kodu Python. Kod jest wykonywany podczas importu modułu, co umożliwia wykonanie poleceń z uprawnieniami usługi.

MyBooks (Talebook) w wersji 3.41.2 i wcześniejszych ma podatność w handlerze AdminSettings.post dla POST /api/admin/settings, który nie sprawdza właściwości self.admin_user, mimo że ma dekorator auth. Każdy uwierzytelniony zwykły użytkownik może nadpisać konfigurację serwera, w tym poświadczenia SMTP, sekrety OAuth, ścieżki przechowywania i flagi bezpieczeństwa. Ponadto funkcja process_auth_header nie weryfikuje flagi aktywacji konta, co pozwala nieaktywowanym kontom na dostęp. Problem naprawiono w wersji 3.42.0.