🇰🇷 한글 설명
MyBooks(Talebook) 3.41.2 및 이전 버전에서 관리자 설정 변경 시 권한 검증이 누락되는 취약점이 발견되었습니다. 인증된 일반 사용자가 SMTP 자격 증명, OAuth 비밀 키, 스토리지 경로 등 서버의 핵심 설정을 임의로 수정할 수 있습니다. 또한, 활성화되지 않은 계정도 인증을 통과할 수 있어 보안 설정 무력화 및 코드 주입 공격의 발판이 될 수 있습니다.
💡 쉬운 설명
일반 사용자가 관리자 권한을 가진 것처럼 속여서 웹 서버의 중요한 설정들을 마음대로 바꿀 수 있는 문제입니다. 이를 통해 해커가 서버의 비밀번호를 알아내거나 시스템을 망가뜨릴 위험이 있습니다.
🇺🇸 원문 (English)
MyBooks is an ebook management web server also known as Talebook. In 3.41.2 and earlier, the AdminSettings.post handler for POST /api/admin/settings in webserver/handlers/admin.py applies the auth decorator but does not check the self.admin_user property, unlike the corresponding GET handler. Any authenticated regular user can therefore overwrite server configuration values including SMTP credentials, OAuth client secrets, storage paths, security feature flags, and autoreload settings. The process_auth_header function in webserver/handlers/base.py also fails to verify the matched account's active flag, allowing a registered but unactivated account to authenticate and reach the vulnerable handler. Exploitation can disclose secrets through configuration access paths, sabotage application behavior, force service restarts, and supply the settings needed for related code-injection attacks. This issue is fixed in version 3.42.0.
📍 영향받는 시스템
MyBooks (Talebook) 3.41.2 및 그 이전 모든 버전
⚔️ 공격 벡터
인증된 일반 사용자 또는 미활성화 계정을 통한 POST /api/admin/settings 요청
🛡️ 대응 방법
MyBooks를 최신 보안 패치가 적용된 버전 3.42.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.42.0 미만이면 취약한 상태입니다.
python3 -c 'import pkg_resources; print(pkg_resources.get_distribution("mybooks").version)' 2>/dev/null || echo 'not installed'
💻 영향받는 소프트웨어
IBM Security Verify Access