CVE-2026-73249

Nome do Software Vulnerável e Versões Afetadas calibre versões anteriores a 9.12.0

Description O Content Server do calibre contém um problema onde o endpoint POST '/book-update-annotations/{library id}/{book id}/{fmt}' em 'src/calibre/srv/books.py' não especifica needs db write=True. Isso faz com que a função Router.dispatch() ignore a verificação ctx.check for write access(). Consequentemente, a função update annotations() permite que um JSON controlado por um invasor seja passado para db.merge annotations for book(), permitindo que um usuário de apenas leitura ou um usuário anônimo em uma implantação não autenticada realize alterações não autorizadas em anotações de livros.

Recommendations Atualizar para a versão 9.12.0.