CVE-2026-26065

Path Traversal w Calibre — zapis dowolnych plików przez czytnik PDB

CVSS 9.3v4.0pub. 2026-02-20

Calibre w wersjach 9.2.1 i wcześniejszych zawiera podatność typu path traversal w module odczytującym pliki PDB (warianty nagłówków 132-bajtowy i 202-bajtowy), umożliwiającą zapis dowolnych plików w dowolnej lokalizacji dostępnej dla użytkownika. Podatność może prowadzić do wykonania kodu (RCE) lub uszkodzenia plików systemu (DoS).

▸ Pokaż oryginał (EN)

calibre is a cross-platform e-book manager for viewing, converting, editing, and cataloging e-books. Versions 9.2.1 and below are vulnerable to Path Traversal through PDB readers (both 132-byte and 202-byte header variants) that allow arbitrary file writes with arbitrary extension and arbitrary content anywhere the user has write permissions. Files are written in 'wb' mode, silently overwriting existing files. This can lead to potential code execution and Denial of Service through file corruption. This issue has been fixed in version 9.3.0.

🤖 Analiza AI

Jak działa

Atakujący dostarcza specjalnie spreparowany plik w formacie PDB, który po przetworzeniu przez Calibre powoduje zapis pliku poza zamierzonym katalogiem roboczym — bez ograniczeń co do rozszerzenia ani zawartości. Zapis odbywa się w trybie 'wb' (binarne nadpisanie), co oznacza, że istniejące pliki są cicho nadpisywane bez ostrzeżenia. Podatność obejmuje oba obsługiwane warianty nagłówka PDB (132-bajtowy i 202-bajtowy). Odpowiednio sformułowany payload może np. nadpisać skrypt startowy lub inny plik wykonywalny, prowadząc do RCE lub trwałego uszkodzenia danych.

Skutki

Atakujący może zapisać plik o dowolnej treści i rozszerzeniu w dowolnym miejscu systemu plików dostępnym dla procesu Calibre, co może skutkować wykonaniem złośliwego kodu (RCE) lub uszkodzeniem krytycznych plików (DoS).

Mitygacja

Należy zaktualizować Calibre do wersji 9.3.0, w której podatność została naprawiona. Poprawka dostępna jest w repozytorium projektu (commit b6da1c3878c06eb1356cb0ec1106cb66e0e9bfb8). Do czasu aktualizacji zaleca się unikanie otwierania plików PDB z niezaufanych źródeł.

Kogo dotyczy

Calibre w wersjach 9.2.1 i starszych (wszystkie platformy obsługiwane przez Calibre)

Uwagi

Podatność wymaga interakcji użytkownika (otwarcie złośliwego pliku PDB) — wektor CVSS wskazuje UI:A (wymagana akcja użytkownika) oraz AV:L (dostęp lokalny). Fix opublikowany w wersji 9.3.0; szczegóły dostępne w GitHub Security Advisory GHSA-vmfh-7mr7-pp2w.

CVSS Vector

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X