CVE-2026-45272

MyBooks, həmçinin Talebook kimi tanınan, təkmilləşdirilmiş və istifadəsi asan şəxsi elektron kitab idarəetmə veb serveridir. Versiya 3.41.2 və daha əvvəlki versiyalarda `webserver/handlers/admin.py` faylındakı `AdminSettings.post` handler-i dırnaq işarələrini və ya yeni sətir simvollarını yoxlamadan `SOCIAL_AUTH` açar adlarını qəbul edir, `webserver/loader.py` faylındakı `SettingsLoader.dumpfile` isə həmin adları ekranlaşdırmadan (escaping) yaradılmış `auto.py` Python mənbə faylına birləşdirir. Administrator tərəfindən göndərilmiş xüsusi hazırlanmış `SOCIAL_AUTH` açar adı parametrlər lüğətini bağlaya və ixtiyari Python ifadələrini inyeksiya edə bilər. Tətbiq sonradan bu ifadələri icra edir, çünki `SettingsLoader.loadfile` funksiyası `auto.py` faylını modul kimi idxal edir və `autoreload` parametrinin `true` olaraq təyin edilməsi `restart_async` funksiyasını çağırır, beləliklə proses nəzarətçisi xidməti yenidən başladır və idxalı tetikləyir. Uğurlu istismar əmrləri tətbiqin servis hesabının imtiyazları ilə icra edir və məlumatların açıqlanmasına, faylların dəyişdirilməsinə, sistemdə qalıcılığın təmin edilməsinə və ya xidmətin pozulmasına səbəb ola bilər. Əlaqəli avtorizasiya və qeydiyyat boşluqları zəncirvari hücumda effektiv imtiyaz tələblərini azalda bilər, lakin müstəqil şəkildə bu boşluğun istismarı üçün administrator girişi tələb olunur. Bu problem 3.42.0 versiyasında düzəldilib.