Abbos Eshmirzayev

**Nome do Software Vulnerável e Versões Afetadas** Book-Management-System (versões afetadas não especificadas) **Descrição** Determinados endpoints da API Flask carecem do decorador `@login required`, que é utilizado para restringir o acesso a usuários autenticados. Esta falha permite que usuários remotos não autenticados recuperem informações de identificação pessoal (PII) de estudantes, incluindo nome, gênero, validade do cartão e status de dívida, bem como o histórico completo de empréstimos de livros. O problema é explorável através dos seguintes endpoints: '/student', '/record', '/books', '/find stu book' e '/find not return book'. Ao fornecer a variável `card id`, que consiste em números inteiros sequenciais, um invasor pode enumerar todo o banco de dados de estudantes. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso aos endpoints '/student', '/record', '/books', '/find stu book' e '/find not return book' para minimizar o risco de exploração.