آسیب‌پذیری CVE-2025-64486 با شدت 9.3 یک ضعف امنیتی در calibre است که ناشی از عدم اعتبارسنجی نام‌‌فایل‌های باینریِ جاسازی‌شده در فایل‌های FB2 می‌باشد و به مهاجم اجازه می‌دهد هنگام باز کردن یا تبدیل یک FB2 مخرب، فایل‌هایی با نام/مسیر دلخواه روی سامانه قربانی نوشته شود. بهره‌برداری ساده است و صرفاً نیازمند آن است که کاربر فایل FB2 آلوده را باز یا تبدیل کند؛ نام‌های مخرب می‌توانند شامل مسیرهای نسبی (..) یا مسیرهای مطلق شوند و به خارج از دایرکتوری امن نوشته شوند. این نوشتن دلخواه می‌تواند در شرایط مناسب به اجرای کد منجر شود — برای مثال ایجاد فایل‌های اتوستارت یا فایل‌های .desktop در لینوکس که در نشست کاربر اجرا می‌شوند. به‌طور خلاصه، اثرات شامل نقض یکپارچگی فایل‌ها، توانایی درج فایل‌های مهاجم و احتمال RCE محلی است. نسخه‌های تا و شامل 8.13.0 آسیب‌پذیر بودند و مشکل در 8.14.0 رفع شده است، بنابراین به‌روزرسانی فوری اولین و مؤثرترین اقدام است.
- calibre (مدیر کتاب‌های الکترونیکی)
- نسخه‌های آسیب‌پذیر: همه نسخه‌ها تا و شامل 8.13.0
- پلتفرم‌ها: ویندوز، لینوکس، macOS (هر محیطی که calibre اجرا شود)
- ماژول درگیر: پردازش فایل‌های FB2 و باینری‌های جاسازی‌شده در آن‌ها.
- به‌روزرسانی فوری به نسخه امن 8.14.0 یا بالاتر.
- عدم باز کردن فایل‌های FB2 ناشناس یا دریافت‌شده از منابع نامعتبر.
- اجرای calibre در محیط ایزوله (sandbox / container / VM) هنگام کار با فایل‌های ناشناخته.
- استفاده از حساب کاربری محدود (non-privileged) تا در صورت سوءاستفاده، امکان نوشتن در مسیرهای حساس نباشد.
- بررسی مسیرهای حساس (مثل .config، .local/share و Autostart) برای شناسایی فایل‌های مشکوک پس از باز کردن FB2.
- فعال بودن آنتی‌ویروس / EDR برای شناسایی رفتار نوشتن فایل‌های غیرعادی.
- نرمال‌سازی نام‌فایل‌ها و مسدودکردن مسیرهای مطلق یا .. برای جلوگیری از تکرار نقص در اسکریپت‌ها یا افزونه‌های جانبی.
- 8