https://alertas.dupin.com.ar/fabricante/readest/Alertas de vulnerabilidades de readest.esWed, 04 Nov 2026 23:54:29 +000010https://alertas.dupin.com.ar/cve/CVE-2026-57567/tg:63381Wed, 04 Nov 2026 23:54:29 +0000VulnerabilidadLos comandos download_file y upload_file de las builds de escritorio Tauri aceptaban un file_path controlado por la webview sin validar el alcance del sistema de archivos, rutas absolutas ni recorrido de directorios. JavaScript ejecutado en el origen privilegiado podía escribir contenido arbitrario o leer y enviar cualquier archivo accesible por el proceso. Corregido en 0.11.10.https://alertas.dupin.com.ar/cve/CVE-2026-57566/tg:63379Wed, 04 Nov 2026 23:54:27 +0000VulnerabilidadLa ruta /api/opds/proxy aceptaba una URL controlada por el atacante y la solicitaba del lado del servidor sin restringir el esquema, bloquear hosts privados, loopback, link-local o de metadatos, ni revalidar destinos en redirecciones. También aceptaba encabezados salientes y valores Authorization del llamador y reflejaba estado y cuerpo de la respuesta. Corregido en 0.11.10.https://alertas.dupin.com.ar/cve/CVE-2026-57565/tg:63377Wed, 04 Nov 2026 23:54:22 +0000VulnerabilidadLa ruta construía la clave de objeto con el identificador del usuario y un fileName controlado por el cliente sin rechazar separadores de ruta ni recorrido de directorios; en el backend R2 la normalización de URL permitía que el PUT prefirmado escapara del espacio del llamador. Un atacante autenticado que conociera el identificador y el hash de un libro podía sobrescribir o envenenar el objeto almacenado de otro usuario. Corregido en 0.11.10.https://alertas.dupin.com.ar/cve/CVE-2026-57562/tg:63376Wed, 04 Nov 2026 23:54:22 +0000VulnerabilidadPOST /api/stripe/check aceptaba un sessionId controlado por el cliente y otorgaba el plan pago al llamador autenticado sin verificar session.metadata.userId. Cualquier usuario gratuito autenticado con el identificador de una Checkout Session paga podía reutilizarlo para actualizar otras cuentas sin pagar. Corregido en 0.11.10.