概述
CVE-2025-62614 - BookLore媒体API认证绕过漏洞
漏洞描述
BookLore是一个用于组织和管理个人图书收藏的自托管Web应用程序。在1.8.1及更早版本中，BookMediaController中存在认证绕过漏洞，允许任何未经认证的用户未经授权访问和下载图书封面、缩略图以及完整的PDF/CBX页面内容。
该漏洞存在的原因是多个媒体端点缺乏适当的访问控制注解，且CoverJwtFilter在没有提供认证令牌时仍继续处理请求。这使得攻击者能够枚举并从系统中泄露所有图书内容，完全绕过预期的下载权限（canDownload）。此问题已通过提交b226c43进行修复。
漏洞时间线
- 发布日期：2025年10月22日晚上9:15
- 最后修改：2025年10月22日晚上9:15
- 远程利用：是
- 来源：security-advisories@github.com
受影响产品
目前尚未记录受影响的产品
CVSS评分
- 评分：8.7
- 版本：CVSS 4.0
- 严重性：高危
- 来源：security-advisories@github.com
解决方案
更新BookLore以修复认证绕过漏洞并保护媒体端点安全：
- 更新BookLore到最新的修复版本
- 验证所有媒体端点的访问控制
- 确保认证令牌得到验证
- 审查和审计系统访问日志
相关参考
| URL | 资源 |
|---|---|
| https://github.com/booklore-app/booklore/commit/b226c43343cd0cef4c1cd54bc3dcdef90b147133 | |
| https://github.com/booklore-app/booklore/security/advisories/GHSA-363g-fhcq-hvqp |
CWE - 常见弱点枚举
CWE-862：缺失授权
常见攻击模式枚举和分类（CAPEC）
CAPEC-665：利用Thunderbolt保护缺陷
漏洞历史记录
新CVE接收 由security-advisories@github.com于2025年10月22日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | BookLore是一个用于组织和管理个人图书收藏的自托管Web应用程序… | |
| 添加 | CVSS V4.0 | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | |
| 添加 | CWE | CWE-862 | |
| 添加 | 参考 | https://github.com/booklore-app/booklore/commit/b226c43343cd0cef4c1cd54bc3dcdef90b147133 | |
| 添加 | 参考 | https://github.com/booklore-app/booklore/security/advisories/GHSA-363g-fhcq-hvqp |