CVE-2026-53500
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Thumbor przed wersją 7.8.0 w konfiguracji ALLOWED_SOURCES przekazuje zwykłe ciągi znaków do re.match() bez escapowania kropek, więc nazwa hosta różniąca się w pozycjach kropek może pasować do listy dozwolonych.
Ocena ryzyka
Atakujący może użyć nazwy hosta, która różni się kropkami, aby ominąć listę dozwolonych źródeł i załadować obrazy z nieautoryzowanych domen.
Rekomendacja
Należy zaktualizować Thumbor do wersji 7.8.0 lub nowszej.
Inne podatności w Thumbor
Zobacz wszystkie- CVE-2026-53505Wysokie
Thumbor przed wersją 7.8.0 w filtrze filters:proportion(<value>) nie narzuca górnego ograniczenia na <value> i działa w fazie po transformacji. Atakujący może wywołać ekstremalnie duże zmiany rozmiaru (wyczerpanie CPU/pamięci) i spowodować odmowę usługi.
- CVE-2026-53504Wysokie
Thumbor przed wersją 7.8.0 w filtrze konwolucji używa wyrażenia regularnego, które wykonuje wykładnicze cofanie się na spreparowanych powtarzających się danych liczbowych, umożliwiając żądaniu URL wyczerpanie czasu przetwarzania.
- CVE-2026-53503Wysokie
Thumbor przed wersją 7.8.0 w filtrze filters:convolution(<matrix>, <columns>, <should_normalize>) przekazuje kontrolowaną przez użytkownika wartość <columns> do rozszerzenia C, gdzie jest używana jako dzielnik bez walidacji, że columns > 0. Gdy columns=0, kod C wywołuje niezdefiniowane zachowanie, na x86_64 prowadząc do śmiertelnego dzielenia przez zero (SIGFPE) i awarii procesu Thumbor, powodując zdalną odmowę usługi.
- CVE-2026-53502Wysokie
Thumbor przed wersją 7.8.0 w file_loader dekoduje segmenty ścieżki zakodowane procentowo po walidacji granic korzenia, umożliwiając wyjście poza FILE_LOADER_ROOT_PATH przez dane wejściowe filtra watermark lub frame.
- CVE-2026-53501Wysokie
Thumbor przed wersją 7.8.0 w walidacji HMAC używa metody .replace() w Pythonie do usunięcia podpisu z URL przed walidacją. Ponieważ .replace() usuwa wszystkie wystąpienia podciągu, atakujący może wstawić ten sam podpis wielokrotnie w URL i manipulować końcowym URL używanym do walidacji, umożliwiając ładowanie obrazów z niezamierzonych domen lub ścieżek.
Oryginalny opis (angielski, źródło NVD)
Thumbor is an open-source photo thumbnail service by globo.com. Prior to 7.8.0, the ALLOWED_SOURCES configuration passes plain strings to re.match() without escaping dots, so a hostname differing at dot positions can match the allowlist. This issue is fixed in 7.8.0.