CVE-2026-26064
Təsvir
calibre elektron kitabların baxılması, çevrilməsi, redaktə edilməsi və kataloqlaşdırılması üçün çarpayazlı platformalı menecerdir. 9.2.1 və daha aşağı versiyalarda istifadəçinin yazı icazələrinin olduğu hər hansı bir yerə ixtiyari faylların yazılmasına imkan verən Path Traversal boşluğu mövcuddur. Windows əməliyyat sistemində bu, növbəti giriş zamanı icra olunan Startup qovluğuna zərərli yükləmənin yazılması vasitəsilə uzaqdan kodun icrasına (Remote Code Execution) səbəb olur. extract_pictures funksiyası yalnız startswith('Pictures') şərtini yoxlayır və '..' ardıcıllıqlarını təmizləmir. calibre-nin utils/zipfile.py faylındakı öz ZipFile.extractall() metodu _get_targetpath() vasitəsilə '..' ardıcıllıqlarını təmizləyir, lakin extract_pictures() funksiyası manual zf.read() + open() istifadə etməklə bunu yan keçir. Bu problem 9.3.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- calibre-ebook calibre9.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| calibre-ebook calibre | v < 9.3.0 | 9.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.