CVE-2026-45274
Təsvir
MyBooks həmçinin Talebook kimi tanınan elektron kitab idarəetmə veb serveridir. Versiya 3.41.2 və daha əvvəlki versiyalarda, webserver/handlers/user.py faylındakı POST /api/user/sign_up üçün SignUp.post handler-i, front-end hissədə bayraq false olduqda qeydiyyat idarəetmə panelləri gizlədilsə də, ALLOW_REGISTER konfiqurasiya bayrağını tətbiq etmir. Autentifikasiya olunmamış uzaq hücumçu birbaşa son nöqtəni (endpoint) çağıra və administrator tərəfindən ictimai qeydiyyat söndürülmüş nümunədə etibarlı hesab yarada bilər. webserver/handlers/base.py faylındakı process_auth_header funksiyası həmçinin hesabın aktivlik bayrağını yoxlamır, buna görə də yeni yaradılmış və aktivləşdirilməmiş hesab dərhal autentifikasiya oluna və istifadəçi səviyyəli API funksionallığına daxil ola bilər. Bu yan keçmə nəzərdə tutulmuş hesab yaratma siyasətini pozur və əlaqəli avtorizasiya boşluqları üçün tələb olunan aşağı imtiyazlı hesabı təmin edə bilər. Bu problem 3.42.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| PoxenStudio talebook | < 3.42.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.