FICHE CVE

CVE-2026-73248

Publiée le 2026-08-11 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les versions de Calibre e-book manager antérieures à la 9.12.0 sont vulnérables à l'exécution de code à distance via des fichiers d'e-books malveillants (tels que des EPUB ou des PDF). Un attaquant peut exécuter du code Python arbitraire sur votre système si vous ouvrez ou importez un fichier spécifiquement conçu à cet effet. Cela nécessite une interaction de l'utilisateur — plus précisément, vous devez charger manuellement le fichier malveillant dans le logiciel — mais ne nécessite aucune authentification préalable.

CVSS 4.08.5 ÉLEVÉE

Type de faiblesse

Injection de code · CWE-94 CWE-95

Publiée2026-08-11

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

calibre is an e-book manager. Prior to 9.12.0, calibre processes attacker-controlled composite_template metadata from a malicious EPUB, OPF, PDF, or similar file through program: and a nested template() call whose formatter does not inherit allow_python_templates=False, allowing a nested python: template to reach compile_python_template and execute arbitrary Python code when the file is opened or imported. This issue is fixed in version 9.12.0.