Calibre 跨站请求伪造漏洞
| CNNVD-ID编号 |
CNNVD-202111-1496 |
CVE编号 |
CVE-2021-25965 |
| 发布时间 |
2021-11-16 |
更新时间 |
2021-11-18 |
| 漏洞类型 |
跨站请求伪造 |
漏洞来源 |
N/A |
| 危险等级 |
高危 |
威胁类型 |
远程 |
| 厂商 |
N/A |
漏洞介绍
Calibre是印度科维德·戈亚尔（Kovid Goyal）个人开发者的一个开源免费的全能电子书阅读管理与格式转换工具。
Calibre web 0.6.0 版本到 0.6.13版本存在跨站请求伪造漏洞，该漏洞源于软件缺少针对跨站请求伪造的检查校验。通过诱使经过身份验证的用户单击链接，攻击者可以创建一个具有管理员特权和攻击者控制的凭证的新用户角色，允许他们接管应用程序。
漏洞补丁
目前厂商已发布升级了Calibre 跨站请求伪造漏洞的补丁，Calibre 跨站请求伪造漏洞的补丁获取链接：
https://github.com/janeczku/calibre-web/commit/50919d47212066c75f03ee7a5332ecf2d584b98e
参考网址
受影响实体
信息来源
计算
安全
数据库
网络和加速
企业服务
