CVE-2026-45274
Publiée le 2026-08-19 · Dernière modification le 2026-08-19
Les serveurs d'ebooks MyBooks (Talebook) version 3.41.2 et antérieures sont affectés par une faille qui permet à toute personne disposant d'un accès réseau de créer un compte utilisateur, même si l'administrateur a désactivé l'inscription publique. Un attaquant peut contourner les restrictions de l'interface frontend en appelant directement l'API d'inscription, ce qui lui donne un accès immédiat aux fonctionnalités de niveau utilisateur sans nécessiter d'authentification préalable ni d'interaction avec un utilisateur. Cela offre un point d'entrée avec des privilèges limités sur le système, qui pourrait être utilisé pour lancer des attaques ultérieures.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
MyBooks is anebook management web server also known as Talebook. In 3.41.2 and earlier, the SignUp.post handler for POST /api/user/sign_up in webserver/handlers/user.py does not enforce the ALLOW_REGISTER configuration flag, even though the frontend hides registration controls when the flag is false. An unauthenticated remote attacker can call the endpoint directly and create a valid account on an instance whose administrator disabled public registration. The process_auth_header function in webserver/handlers/base.py also does not verify the account's active flag, so the newly created and unactivated account can authenticate immediately and access user-level API functionality. The bypass defeats the intended account-creation policy and can supply the low-privilege account required by related authorization vulnerabilities. This issue is fixed in version 3.42.0.