JVNDB-2026-006141

calibre-ebookのcalibreにおける複数の脆弱性

calibreは電子書籍の閲覧、変換、編集、カタログ化のためのクロスプラットフォーム電子書籍マネージャーです。バージョン9.4.0以前のcalibreコンテンツサーバーのブルートフォース保護機構は、`remote_addr`と`X-Forwarded-For`ヘッダーの両方から派生した禁止キーを使用していました。`X-Forwarded-For`ヘッダーはHTTPリクエストから直接読み取られ、検証や信頼できるプロキシの設定がなかったため、攻撃者はこのヘッダーを変更または追加するだけでIPベースの禁止を回避でき、ブルートフォース保護を完全に無効化できてしまいます。これは、ブルートフォース保護が認証情報詰め込み攻撃やパスワード推測攻撃に対する主要な防御策であり、インターネットに公開されているcalibreサーバーにとって特に危険です。バージョン9.4.0にはこの問題の修正が含まれています。

calibre-ebook

• calibre 9.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : IP Ban Bypass via X-Forwarded-For Header Spoofing  Advisory  kovidgoyal/calibre  GitHub

1. 過度な認証試行の不適切な制限(CWE-307) [その他]
2. 同一生成元ポリシー違反(CWE-346) [その他]

1. CVE-2026-27824

1. National Vulnerability Database (NVD) : CVE-2026-27824

• [2026年03月06日]
    掲載