Calibre 跨站请求伪造漏洞

Calibre是印度科维德·戈亚尔（Kovid Goyal）个人开发者的一个开源免费的全能电子书阅读管理与格式转换工具。 Calibre web 0.6.0 版本到 0.6.13版本存在跨站请求伪造漏洞，该漏洞源于软件缺少针对跨站请求伪造的检查校验。通过诱使经过身份验证的用户单击链接，攻击者可以创建一个具有管理员特权和攻击者控制的凭证的新用户角色，允许他们接管应用程序。