CVE-2026-45274

MyBooks, Talebook olarak da bilinen bir e-kitap yönetim web sunucusudur. 3.41.2 ve önceki sürümlerde, webserver/handlers/user.py dosyasındaki POST /api/user/sign_up için SignUp.post işleyicisi, ön uç bayrak yanlış olduğunda kayıt kontrollerini gizlese bile ALLOW_REGISTER yapılandırma bayrağını zorunlu kılmaz. Kimliği doğrulanmamış uzak bir saldırgan, uç noktayı doğrudan çağırabilir ve yöneticisinin herkese açık kaydı devre dışı bıraktığı bir örnekte geçerli bir hesap oluşturabilir. webserver/handlers/base.py dosyasındaki process_auth_header fonksiyonu ayrıca hesabın aktif bayrağını doğrulamamaktadır; bu nedenle yeni oluşturulan ve etkinleştirilmeyen hesap hemen kimlik doğrulaması yapabilir ve kullanıcı düzeyindeki API işlevselliğine erişebilir. Bu atlatma, amaçlanan hesap oluşturma politikasını etkisiz hale getirir ve ilgili yetkilendirme zafiyetleri tarafından gerektirilen düşük ayrıcalıklı hesabı sağlayabilir. Bu sorun 3.42.0 sürümünde düzeltilmiştir.