CVE-2023-2106

Ze względu na brak odpowiednich wymagań dotyczących złożoności haseł, użytkownicy mogą ustawiać hasła trywialne lub puste, które są podatne na ataki słownikowe i brute-force. Atakujący zdalnie, bez żadnego uwierzytelnienia ani interakcji ofiary, może próbować odgadnąć lub wymusić hasło w celu przejęcia konta. Wektor ataku sieciowy (AV:N) i brak wymagań co do uprawnień (PR:N) oznaczają, że atak jest możliwy bezpośrednio przez internet bez żadnych wstępnych warunków.

Udany atak może prowadzić do pełnego przejęcia konta użytkownika lub administratora, a w konsekwencji do uzyskania nieautoryzowanego dostępu do przechowywanych zasobów biblioteki, danych osobowych oraz potencjalnej modyfikacji lub usunięcia treści w aplikacji.

Należy zaktualizować Calibre-Web do wersji 0.6.20 lub nowszej, w której wprowadzono wymuszanie odpowiedniej złożoności haseł (commit 49e4f540c9b204c7e39b3c27ceadecd83ed60e7e). Dodatkowo zaleca się natychmiastową zmianę wszystkich haseł użytkowników na silne, unikalne ciągi znaków oraz rozważenie wdrożenia dodatkowych mechanizmów ochrony dostępu, takich jak ograniczenie ekspozycji aplikacji na internet.

Repozytorium janeczku/calibre-web w wersjach przed 0.6.20

Podatność została zgłoszona za pośrednictwem platformy huntr.dev (bounty c3d5c647-7557-40a9-aee4-24dc14882781). Pomimo oceny CVSS 9.8 (Critical), aplikacja Calibre-Web jest narzędziem niszowym, co może ograniczać rzeczywistą powierzchnię ataku — niemniej ekspozycja na internet bez silnych haseł stanowi poważne ryzyko.