CVE-2026-7714

ŚrednieCVSS 6.5

Opublikowano: 04/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W crocodilestick Calibre-Web-Automated do wersji 4.0.6 wykryto podatność w nieznanej funkcjonalności pliku cps/cwa_functions.py (komponent Admin Endpoint). Manipulacja prowadzi do braku uwierzytelnienia, a atak można zainicjować zdalnie. Exploit został opublikowany i może być wykorzystany; projekt został poinformowany o problemie, ale nie zareagował.

Ocena ryzyka

Zdalny atakujący może uzyskać dostęp do funkcji administracyjnych bez uwierzytelnienia, co prowadzi do przejęcia kontroli nad aplikacją. Publiczna dostępność exploitu zwiększa ryzyko.

Rekomendacja

Ogranicz dostęp do punktów końcowych administracyjnych do zaufanych sieci i monitoruj nietypową aktywność. Rozważ wdrożenie dodatkowej warstwy uwierzytelniania przed aplikacją do czasu wydania poprawki.

Inne podatności w Calibre-Web-Automated

CVE-2026-7713Średnie
W Calibre-Web-Automated do wersji 4.0.6 wykryto podatność w funkcji generate_auth_token w pliku cps/kobo_auth.py (komponent Kobo auth-token Route). Manipulacja prowadzi do niewłaściwej autoryzacji. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in crocodilestick Calibre-Web-Automated up to 4.0.6. Affected by this issue is some unknown functionality of the file cps/cwa_functions.py of the component Admin Endpoint. This manipulation causes missing authentication. It is possible to initiate the attack remotely. The exploit has been published and may be used. The project was informed of the problem early through a pull request but has not reacted yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS