CVE-2026-71241

Nome do Software Vulnerável e Versões Afetadas Book-Management-System (versões afetadas não especificadas)

Descrição Determinados endpoints da API Flask carecem do decorador @login required, que é utilizado para restringir o acesso a usuários autenticados. Esta falha permite que usuários remotos não autenticados recuperem informações de identificação pessoal (PII) de estudantes, incluindo nome, gênero, validade do cartão e status de dívida, bem como o histórico completo de empréstimos de livros. O problema é explorável através dos seguintes endpoints: '/student', '/record', '/books', '/find stu book' e '/find not return book'. Ao fornecer a variável card id, que consiste em números inteiros sequenciais, um invasor pode enumerar todo o banco de dados de estudantes.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso aos endpoints '/student', '/record', '/books', '/find stu book' e '/find not return book' para minimizar o risco de exploração.